4 августа 2026 года атака на экосистему npm показала, насколько опасной может быть одна скомпрометированная учётная запись разработчика. Злоумышленники получили доступ к GitHub сопровождающего популярной библиотеки Keyv, добавили вредоносный код сразу в несколько связанных пакетов и выпустили официально выглядящие версии. Для заражения не требовалось запускать приложение, вызывать уязвимую функцию или даже напрямую использовать Keyv в исходном коде. Достаточно было установить зависимость — в том числе косвенную — обычной командой npm...