PANews 7月1日消息，據慢霧安全警報，其監測系統發現一起針對npm生態的協同惡意供應鏈攻擊。攻擊者透過偽造交易機器人倉庫和DeFi主題的npm包投放JavaScript資訊竊取程式，涉及30個惡意npm包，其中stake-math@3.5.4作為鎖定依賴出現在donoaccestag/forex-mt5-trading-bot倉庫中。

該倉庫存在明顯異常信號，約2.3萬個高度同質化的分叉倉庫集中在poly-stocks帳戶下。攻擊者可竊取加密錢包、瀏覽器Cookie、密碼、開發者憑證、私鑰、助記詞及源碼中的API令牌等本地敏感數據。開發者應立即移除受影響包，審計項目依賴和CI日誌，將運行過npm install的系統視為可能被入侵，輪換暴露的憑證，並從乾淨鏡像重建環境。