TensorLake npm SDK遭供应链攻击
发生了什么
据Socket技术动态报道，TensorLake的npm SDK在ChainDrop/Shai-Hulud供应链攻击中受损。版本0.5.144包含窃取凭证的恶意代码，于2026年10月8日发布后11分钟被标记。该SDK周下载量约1.2万次，攻击者通过preinstall hook执行载荷，旨在窃取本地及云端密钥。
- 周下载量
- 12K
进展与证据
只展示有原文依据的进展；报道时间与事件发生时间分别保留。
恶意版本发布
含凭证窃取代码
报道与来源
1 篇发布方数量不等于独立核验数量。同稿的多个入口保留在对应报道中。
来源关系与证据边界
按已记录的来源角色展示；连线仅表示原生身份流程确认的同稿入口，不表示独立佐证或跨报道引用。
- 一手材料1 个发布入口