关于[月下载量千万的 npm 包被黑客篡改，Vue 开发者可能正在遭受攻击]的摘要:
早起看手机，结果发现我的微信群炸了，未读消息 999+，大家都在讨论 event-stream 事件。打开 twitter 也是被这个刷屏了。 于是翻看了一下 GitHub Issue，大概知道了事情的原委。 用户 @FallingSnow 在 GitHub 上为 event-stream 仓库创建了一个 issue，标题为："I don't know what to say."，翻译过来大概就是“我也是很无语了”。因为 event-stream 包突然多出了一个名为 flatmap-stream 的依赖项，而这个依赖项正在窃取用户的数字货币。 event-stream 被很多的前端流行框架和库使用，每月有几千万的下载量。在 Vue 的官方脚手架 vue-cli 中也使用了这个依赖，作为最流行的前端框架之一，这个影响还是挺大的。而 React 则躲过了以此影响。 flatmap-stream 中的恶意代码会扫描用户的 nodemodules 目录，因为所有从 npm 下载的模块都会放在此目录。如果发现了在 nodemodules 存在特定的模块，则将恶意代码注入进去，从而盗取用户的数字货币。
原文地址: https://www.cnblogs.com/powertoolsteam/p/10030113.html