Keyv生态遭受大规模npm供应链攻击，超2000个恶意包版本被发布

币界网报道：币界网消息，据慢雾监测，Keyv生态系统遭遇大规模npm供应链攻击，攻击者发布了超过2000个恶意包版本，包括keyv .0.0。Keyv是广泛使用的键值存储抽象库，支持redis、sqlite、postgresql、mongodb等后端，每周下载量约1.27亿次，导致明显的下游供应链暴露。攻击手法与shai-hulud npm蠕虫活动高度相似，指向高度自动化和可扩展的供应链攻击。潜在攻击行为包括凭据窃取、环境变量泄露、ci/cd密钥泄露、远程载荷投递及通过被入侵的开发环境横向传播。