慢雾：Keyv生态遭大规模npm供应链攻击，超2000个恶意包版本发布

据慢雾监测，MistEye检测到一次大规模npm供应链攻击，影响Keyv/Cacheable生态系统。攻击者发布了超过2,000个恶意包版本，包括keyv@6.0.0。Keyv是广泛使用的键值存储抽象库，支持Redis、SQLite、PostgreSQL、MongoDB等后端，每周下载量约1.27亿次，导致明显的下游供应链暴露。

攻击手法与此前Shai-Hulud npm蠕虫活动高度相似，指向高度自动化和可扩展的供应链攻击。潜在攻击行为包括凭据窃取、环境变量泄露、CI/CD密钥泄露、远程载荷投递及通过被入侵的开发环境横向传播。安全团队应立即识别并移除受影响包版本，升级至已验证的安全版本，审查依赖锁文件和构建日志，监控可疑外连，轮换泄露凭据，并在确认受影响后重建环境。