Keyv 生態遭大規模 npm 供應鏈攻擊　逾 2,000 個惡意套件版本流出

ChainCatcher 報道，據 SlowMist 監測，MistEye 發現針對 Keyv／Cacheable 生態的 npm 供應鏈大規模攻擊。攻擊者已釋出超過 2,000 個惡意套件版本，當中包括 keyv@6.0。Keyv 是廣泛使用的鍵值（key-value）儲存抽象層函式庫，支援 Redis、SQLite、PostgreSQL 及 MongoDB 等後端，每週下載量約 1.27 億次，令下游依賴鏈面臨顯著供應鏈風險。 SlowMist 指出，今次手法與早前 ShaiHulud npm 蠕蟲活動高度相似，反映攻擊具高度自動化與可擴展性。潛在惡意行為包括盜取憑證、外洩環境變數、暴露 CI/CD 機密、遠端投放載荷，以及透過受感染的開發環境進行橫向移動。 安全團隊建議即時排查並移除受影響版本，升級至已核實的安全版本，同時檢視依賴鎖定檔（lock files）及建置紀錄（build logs），監察可疑對外連線；如懷疑憑證已外洩，應即時輪換相關憑證，並在確認入侵後重建相關環境。