黑客劫持Tensorlake软件包传播Shai-Hulud供应链恶意软件

📋总体概括

威胁行为者于2026年10月8日在npm上发布了恶意版本的tensorlake包（0.5.144版本），内嵌自我复制的Shai-Hulud供应链蠕虫新变种。该恶意版本可窃取开发者机密信息、针对浏览器存储的加密货币凭据，并利用窃取的发布凭据通过关联的软件供应链继续传播。事件再次暴露npm生态单一发布凭据即可劫持任意流行包的结构性风险。