就在 七天前 ，天塌npm 才刚刚经历一场 “史诗级”供应链大屠杀 ：

攻击者篡改大名鼎鼎的被投 chalk 依赖，把 挖矿木马 + 系统信息窃取脚本 塞进 每周下载量 6000 万次的毒‼流行包，导致 全球无数 CI 瞬间变矿场（详见《npm 大屠杀：6000 万下载量 chalk 系被投毒》）
。天塌

社区惊魂未定，被投官方连道歉信都没写完——第二把刀闪电般捅到：

一句话总结 ：上周投毒 chalk ，本周轮到你离不开的配色小工具 + 安全大厂 SDK
，连“守门员”都成了输送后门的人 。

(1) 入口：钓鱼或泄露 maintainer 的 npm 令牌 → 劫持发布通道 。

(2) 植入：在 package.json 的 postinstall 字段调用 node bundle.js 。

(3) 执行：

(4) 扩散 ：利用依赖平级提升（hoist）（node_modules/@ctrl/tinycolor 被上百个包引用）
，一次投毒，万人中招 。

以下名称均来自 Socket 团队实时推文 ，列表仍在增加 ：

(1) 停装

(2) 锁死

(3) 清密

立刻轮换：

审查 GitHub Actions 日志，看是源码库否出现陌生 workflow_run 或对外 HTTP 200 到 webhook.site
。

可以，但 别手滑 。给出三条“保命”默认配置：

再加一道 Socket 插件：

可在 install 前给出 实时风险评分 ，9 月以来的所有投毒包均被标为 Critical 。

npm 的“便利”是把双刃剑 ：一个 postinstall 就能让任何开发者的电脑变成矿机
、泄密器、C2 跳板 。

供应链攻击已进入 “小时级”迭代 时代，模板下载靠 npm 官方人工下架根本来不及 。真正的安全阀只有两道：

记住：每一次 npm i ，都是把别人写的代码直接跑在你的笔记本、CI、生产服务器上。