Keyv生態遭npm供應鏈攻擊，超2000個惡意包發佈

Keyv及Cacheable生態遭受大規模npm供應鏈攻擊，逾2000個惡意版本上線，波及每週下載量1.27億次的核心庫。

據 Woofun AI 消息，安全公司 MistEye 披露一起針對 Keyv 和 Cacheable 生態系統的大規模 npm 供應鏈攻擊。攻擊者發佈了超過 2,000 個惡意軟件包版本，其中包括 keyv@6.0。Keyv 作爲廣泛使用的鍵值存儲抽象庫，支持 Redis、SQLite、PostgreSQL 和 MongoDB 等後端，周下載量約 1.27 億次。

此次攻擊手法與之前的 Shai-Hulud npm 蠕蟲攻擊相似，屬於高度自動化的供應鏈攻擊。潛在風險包括憑證竊取、環境變量泄露、CI/CD 密鑰泄露、遠程惡意代碼傳輸及開發環境橫向擴散。建議安全團隊移除受影響版本，升級至安全版本，檢查依賴鎖定文件與構建日誌，監控可疑連接並更換泄露憑證。