주당 220만 번 다운로드되는 NPM 패키지 "@ctrl/tinycolor"가 악성 정보 도용 툴이 포함된 공급망 공격을 받았습니다.

BlockBeats에 따르면, Scam Sniffer는 9월 16일 주간 다운로드 횟수가 220만 건에 달하는 NPM 패키지 "@ctrl/tinycolor"가 악성 버전에 감염되었다고 경고했습니다. 이 익스플로잇은 npm 설치 후 프로세스 중에 정보 탈취 프로그램을 실행하여 합법적인 도구인 TruffleHog를 사용하여 민감한 데이터를 스캔하고 유출합니다. 약 40개의 종속 패키지가 영향을 받았습니다. 사용자는 즉시 영향을 받는 버전을 설치했는지 확인하고, 업데이트를 일시 중단하고, 안전한 버전을 사용해야 합니다.