已验证65% 置信事件精确时间
2018年的event-stream事件中，攻击者通过接管一个npm包的维护权限，在其中植入了窃取比特币钱包私钥的恶意代码，该包每周下载量超过200万次
3
来源数
65%
置信度
中期 (~90 天)
时效性
2026/7/2
首次发现
有效期至：2026/9/30
来源
AI写代码频繁翻车？知识库、Skill、MCP、Agent缺一不可
bilibiliAI码农工坊2026/6/11
相关事实
待验证2018年npm生态爆发event-stream事件，一个被广泛依赖的开源包被恶意维护者注入了窃取加密货币钱包的代码，影响数百万下载76% 相似待验证2021 年 npm 包 ua-parser-js（周下载量超过 700 万次）被原作者账号劫持后植入加密货币挖矿程序70% 相似待验证2022 年 LastPass 的云端备份泄露事件导致数百万用户的加密密码库被攻击者获取67% 相似待验证勒索软件攻击者往往会在潜伏数周至数月后才触发加密程序，期间通过横向移动渗透备份系统、域控制器等关键节点66% 相似待验证在HackerOne、Bugcrowd等主流漏洞赏金平台的历史报告中，暴露的配置文件和.git目录是获得高额奖励最频繁的漏洞类型之一66% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/61432API
curl https://kongchang.com/api/v1/knowledge/claims/61432MCP
get_claim(id=61432)