Mastra npm 144 パッケージで大規模供給網攻撃

The Hacker News は 2026 年 6 月 17 日、AI エージェント構築フレームワーク Mastra の npm スコープに対する大規模なサプライチェーン攻撃が発生したと報じました。攻撃者は権限が残ったままになっていた旧コントリビューターのアカウント「ehindero」を乗っ取り、88 分間で 144 パッケージに不正な依存を追加して再公開しました。

主なポイント

• 攻撃の入口は dayjs 日付ライブラリの typosquat「easy-day-js」。先行公開した正規バージョンへ依存を貼り、後から悪性バージョン (1.11.22) を公開して自動取得させる多段階手口
• postinstall フックで難読化された 2 段目ペイロードをダウンロードし、暗号資産窃取目的の RAT を起動した後、自身を削除して痕跡を消す
• 影響を受ける @mastra/core は週次 npm ダウンロード 91 万 8000 回超、関連パッケージ合計の影響範囲は週 110 万 DL 超
• Snyk と Orca はマルウェアの手口から北朝鮮系 APT「Sapphire Sleet (BlueNoroff)」関与と指摘
• npm は主要パッケージの悪性バージョンを削除し latest タグも巻き戻し済み
• 影響期間に Mastra 関連パッケージを取得した CI / 開発端末は侵害想定での対応 (認証情報のローテーション、フォレンジック調査) が推奨される

出典: 144 Mastra npm Packages Compromised via Hijacked Contributor Account (The Hacker News)