一个npm包沦陷，170个私有仓库集体裸奔

一个看似普通的TanStack包更新，怎么就能让CrowdSec的170个私有仓库集体暴露？答案令人细思极恐：供应链攻击早已不是"会不会发生"的问题，而是"什么时候轮到你"的问题。攻击者利用开发者对依赖包的信任链，在包更新中嵌入恶意代码，顺着CI/CD管线一路渗透进私有仓库。CrowdSec的分析显示，从首次感染到仓库泄露，整个过程可能只需数分钟。说到底，只要你的构建流程依赖外部npm包且缺乏严格的签名验证，你就在赌自己的私钥永远不会出现在某个恶意脚本里。这不是危言耸听，这是现实。

原文：TanStack supply-chain attack exposed ~170 private CrowdSec repos · 来源：Hacker News