I don't know what to say. · Issue #116 · dominictarr/event-stream · GitHub

EDIT 26/11/2018: Am I affected?: If you are using anything crypto-currency related, then maybe. As discovered by @maths22, the target seems to have been identified as copay related libraries. It only executes successfully when a matching package is in use (assumed to be copay at this point). If you are using a crypto-currency related library and if you see flatmap-stream@0.1.1 after running npm ls

[efcl]

`flatmap-stream@0.1.1`に`ps-tree`をターゲット?にした攻撃コードが含まれている問題についてのIssue。 `event-stream@3.3.6`になぜか`flatmap-stream@0.1.1`への依存が追加されていたため、かなり複雑な経路。 https://bit.ly/2DWg4iC

[t2wave]

event-streamというnpmパッケージに攻撃コードが混入された報告ISSUE

[amagitakayosi]

ひー、minifyしたコードを配布する場合はCIでminify結果が一致するかチェックすれば防げるけど、大変だなあ……

[causeless]

"@jingbay npm経由でまたマルウェアが配布された。 パッケージオーナーは知らない人にメンテナ権限を譲与。今では暗号通貨採掘が埋められた。npmサイドはマルウェア版を引き上…" via https://twitter.com/jingbay/status/1067151044029730816

[Nyoho]

security of npm

[ohbarye]

ownerがもはやメンテナンスしていないnpm libraryのpublish権限をhackerに与えてしまった可能性があり、さらにそれをnpm supportに連絡しないという振る舞いに批判的なコメントが並んでいる

[mysticatea]

なにこれ