Zod 供应链虚惊一场

9 月 21 日有人用盗走的 git 凭证往 Zod 主分支推了个恶意提交（打了 4.6.6 的 tag），作者 Colin 当天就回滚了，10 月 11 日正式发布的 4.6.6 是干净的，npm 没中招。恶意代码玩了个花活：从以太坊智能合约里取 C2 地址再下载载荷，图的就是封不掉；同手法还试过 standard-schema 和 nub，后者被 npm 恶意扫描拦下。用 Zod 的可以松口气。

https://news.ycombinator.com/item?id=50052814