Keyv 生态遭受大规模 npm 供应链攻击，超 2000 个恶意包版本被发布

慢雾监测到 MistEye 检测到一次大规模 npm 供应链攻击，影响 Keyv/Cacheable 生态系统。攻击者发布了超过 2000 个恶意包版本，包括 keyv@6.0.0。Keyv 是广泛使用的键值存储抽象库，支持 Redis、SQLite、PostgreSQL、MongoDB 等后端，每周下载量约 1.27 亿次，导致明显的下游供应链暴露。攻击手法与 Shai-Hulud npm 蠕虫活动高度相似，指向高度自动化和可扩展的供应链攻击。潜在攻击行为包括凭据窃取、环境变量泄露、CI/CD 密钥泄露、远程载荷投递及通过被入侵的开发环境横向传播。