據 Woofun AI 消息，MistEye 監測到一起針對 npm 用戶及 DeFi 開發者的協調性供應鏈攻擊。該活動涉及 30 個惡意 npm 包，包括 stake-math@3.5.4，這些包通過 donoaccestag/forex-mt5-trading-bot 代碼庫作爲鎖定依賴項傳播。該代碼庫存在明顯異常，依賴已被報告的惡意包，且擁有約 2300 個高度同質的分叉，主要集中在 poly-stocks 賬戶下。

攻擊者旨在竊取本地敏感數據，涵蓋加密錢包、瀏覽器 cookies、保存的密碼、瀏覽歷史、開發者憑證、shell 歷史、密碼管理器保管箱、私鑰、助記詞以及源代碼中的 API 令牌。建議開發者立即移除受影響包，審計 package.json / package-lock.json 和 CI 日誌，將曾運行 npm install 的系統視爲潛在受害目標，及時更換暴露的憑證並從乾淨鏡像重建環境。