週下載量220萬次的NPM套件「@ctrl/tinycolor」遭供應鏈攻擊，含惡意資訊竊取器

BlockBeats 訊息，9 月 16 日，根據 Scam Sniffer 警告，週下載量 220 萬的 NPM 套件「@ctrl/tinycolor」被植入惡意版本，在 npm postinstall 過程中運行資訊竊取器，利用合法工具 TruffleHog 掃描並外洩敏感資料。目前已波及約 40 個相關依賴套件。使用者應立即檢查是否安裝受影響版本，暫停更新，並鎖定安全版本。