npm 공급망 공격: keyv 등 유명 패키지 868개 감염, 월 20억 건 설치

Keyv and friends compromised in active Shai-Hulud supply chain attack

8월 4일, keyv 패키지 관리자의 GitHub 계정이 탈취되어 keyv, cacheable, flat-cache 등 인기 캐싱 라이브러리 전반에 자격 증명을 훔치는 악성 코드가 주입되었습니다. 이 공격은 GitHub Actions 서명을 위조하여 npm에 유효한 출처로 배포되었으며, 이후 다른 유지관리자와 패키지로 확산되어 총 868개 패키지(1,381개 버전)가 감염되었고, 월간 설치 수는 20억 건을 넘습니다. 악성 코드는 setup.mjs와 Math_Symbol.js를 통해 npm 토큰, GitHub CLI 토큰, AWS 자격 증명, Vault 토큰을 탈취하며, 웜처럼 다른 패키지로 전파됩니다.