近期一则安全警报警告称，针对 npm 生态系统的协调恶意攻击正在发生。该攻击通过虚假交易机器人仓库和 DeFi 主题的 npm 包部署基于 JavaScript 的信息窃取程序。目前已识别出约 30 个恶意 npm 包，其中名为 "stake" 的包作为可疑仓库中的锁定依赖项出现。该仓库呈现异常模式，约 23,000 个同质分叉分支集中在一个账户下。攻击者可能能够窃取敏感本地数据，包括加密货币钱包、浏览器 Cookie、密码、开发者登录信息、私钥和 API 令牌。此次攻击对 DeFi 领域的开发者和用户构成重大风险，突显了加强警惕和安全措施以防范此类威胁的必要性。