Keyv生态遭npm供应链攻击，超2000个恶意包发布

Keyv及Cacheable生态遭受大规模npm供应链攻击，逾2000个恶意版本上线，波及每周下载量1.27亿次的核心库。

据 Woofun AI 消息，安全公司 MistEye 披露一起针对 Keyv 和 Cacheable 生态系统的大规模 npm 供应链攻击。攻击者发布了超过 2,000 个恶意软件包版本，其中包括 keyv@6.0。Keyv 作为广泛使用的键值存储抽象库，支持 Redis、SQLite、PostgreSQL 和 MongoDB 等后端，周下载量约 1.27 亿次。

此次攻击手法与之前的 Shai-Hulud npm 蠕虫攻击相似，属于高度自动化的供应链攻击。潜在风险包括凭证窃取、环境变量泄露、CI/CD 密钥泄露、远程恶意代码传输及开发环境横向扩散。建议安全团队移除受影响版本，升级至安全版本，检查依赖锁定文件与构建日志，监控可疑连接并更换泄露凭证。