Специалисты по информационной безопасности выявили пять вредоносных публикаций в репозитории npm, связанных с экосистемой AsyncAPI. Инцидент затронул пакеты @asyncapi/specs версий 6.
14 июля 2026 года злоумышленник, действовавший под учётной записью GitHub с идентификатором 148100, получил доступ к двум репозиториям проекта AsyncAPI и опубликовал вредоносные версии четырёх npm-пакетов.
Исследователи OX Research обнаружили в реестре npm вредоносный пакет polymarket-kit, предназначенный для многоэтапной кражи криптовалютных средств и данных аутентификации.
Пакет jscrambler, который разработчики используют для интеграции обфускации JavaScript-кода в сборочные конвейеры, стал звеном в цепочке поставок после публикации вредоносной версии 8.
Одиннадцатого июля 2026 года официальный npm-клиент коммерческого сервиса по обфускации JavaScript jscrambler был скомпрометирован. Злоумышленник опубликовал пять вредоносных версий пакета, используя учётную
Исследователи из SafeDep зафиксировали новую кампанию по распространению вредоносного программного обеспечения через реестр npm. Злоумышленники используют заражённую копию популярного пакета nodemon под именем nodemon-sudo версии 3.
В конце июня 2026 года в реестре NPM появилась серия вредоносных пакетов, за два дня загруженных почти 20 тысяч раз. Эти пакеты маскировались под популярные инструменты для работы с искусственным интеллектом
Открытые репозитории пакетов давно стали неотъемлемой частью современной разработки. Особенно это касается экосистемы блокчейна и Web3, где скорость выпуска продуктов критически важна.
Злоумышленники опубликовали вредоносную версию популярного npm-пакета @injectivelabs/sdk-ts (около 50 тысяч загрузок в неделю), предназначенного для работы с блокчейном Injective.
Семнадцать пакетов, опубликованных 7 июля 2026 года в реестрах npm и PyPI, представляют собой целенаправленную атаку на разработчиков, использующих официальные SDK для платежных систем PaySafe, Skrill и Neteller.
