据安全警报显示，一起重大的npm供应链攻击事件已被报告，影响了Keyv生态系统。该警报来自@SlowMist_Team。攻击者发布了超过2,000个恶意包版本，鉴于Keyv的广泛使用——每周下载量约达1.27亿次——这一事件引发了高度关注。

攻击范围

SlowMist详细说明，npm生态系统正面临严重的安全威胁。此次攻击涉及超过2,000个针对Keyv的恶意包版本，Keyv是一个广泛使用的键值存储抽象层。Keyv支持多种存储后端，包括Redis和PostgreSQL，使其成为加密货币和更广泛科技领域众多应用程序的关键依赖项。

鉴于Keyv的广泛集成，对下游应用程序的影响十分重大。此次事件中观察到的攻击手法与此前npm供应链攻击中使用的手法相似，表明攻击者进行了精心策划和协调行动。此前的重大事件——如2018年event-stream攻击和2021年ua-parser-js恶意代码注入——已经证明，单个被入侵或劫持的包可以波及数千个依赖项目，因为npm的深层传递依赖链使得单个恶意层可以影响到与原始包相隔数层之远的应用程序。

Keyv的作用与风险敞口

Keyv是一个流行的键值存储解决方案，为多种后端提供简单统一的接口。它的广泛使用意味着恶意包可能影响到大量依赖它进行数据存储操作的项目。

npm注册表由GitHub在2020年收购后负责维护，处理大量用于Web应用程序和服务开发的软件依赖项，在软件供应链安全中扮演着核心角色。此类事件会影响整个行业的网络安全标准，进一步凸显了通过lockfile进行依赖项锁定、完整性验证以及通过npm audit等工具进行自动化漏洞扫描的重要性。

建议措施

建议安全团队采取以下步骤：

• 立即审查和审计所有npm包依赖项，特别是与Keyv相关的依赖项。
• 在验证完整性后，更新至已知安全的包版本。
• 监控系统是否存在因恶意包导致的入侵迹象。
• 密切关注安全研究人员和npm团队发布的后续更新。

开发人员应对软件依赖项保持警惕，并留意随着形势发展可能出现的新漏洞。预计随着社区采取措施降低风险，审计工作将会增加，更安全的包管理实践也将得到更广泛的采用。