keyv

ChainCatcher 消息，据慢雾监测，MistEye 检测到一次大规模 npm 供应链攻击，影响 Keyv/Cacheable 生态系统。攻击者发布了超过 2,000 个恶意包版本，包括 keyv@6.0。Keyv 是广泛使用的键值存储抽象库，支持 Redis、SQLite、PostgreSQL、MongoDB 等后端，每周下载量约 1.27 亿次，导致明显的下游供应链暴露。攻击手法与此前 Shai-Hulud npm 蠕虫活动高度相似，指向高度自动化和可扩展的供应链攻击。潜在攻击行为包括凭据窃取、环境变量泄露、CI/CD 密钥泄露、远程载荷投递及通过被入侵的开发环境横向传播。安全团队应立即识别并移除受影响包版本，升级至已验证的安全版本，审查依赖锁文件和构建日志，监控可疑外连，轮换泄露凭据，并在确认受影响后重建环境。