npm 供應鏈攻擊竊取開發者權限並自我擴散

攻擊者利用被入侵的開發者帳號發布含有惡意程式碼的 npm 套件，這些套件會自動竊取開發者的認證令牌，並嘗試將惡意程式碼複製到其他專案中，形成連鎖反應。這種手法讓受害者難以察覺，因為惡意程式碼看似來自可信的開發者。一般開發者容易在安裝第三方套件時，忽略對來源的嚴格審查，導致被動中招。建議開發者定期更新套件，並啟用雙重驗證，同時仔細檢查套件來源與更新日誌，避免安裝未經驗證的程式碼。