Al menos 18 paquetes muy populares de NPM han sido comprometidos. En conjunto, estos paquetes superan las 2.000 millones de descargas semanales, lo que convierte esta brecha en un ataque de proporciones colosales. Fueron modificados para incluir un fragmento de código altamente malicioso, capaz de ejecutarse directamente en el cliente de un sitio web.

Este código actúa de manera silenciosa e indetectable, interceptando la actividad de crypto y Web3 en el navegador, manipulando las interacciones con las carteras digitales y reescribiendo los destinos de pago. El resultado: fondos y autorizaciones desviados a cuentas bajo control de los atacantes, sin que el usuario tenga la más mínima sospecha

• . backslash (0,26 M descargas por semana)
•  chalk-template (3,9 M descargas por semana) 
• supports-hyperlinks (19,2 M descargas por semana)
•  has-ansi (12,1 M descargas por semana) 
• simple-swizzle (26,26 M descargas por semana) 
• color-string (27,48 M descargas por semana) 
• error-ex (47,17 M descargas por semana) 
• color-name (191,71 M descargas por semana) 
• is-arrayish (73,8 M descargas por semana) 
• slice-ansi (59,8 M descargas por semana) 
• color-convert (193,5 M descargas por semana) 
• wrap-ansi (197,99 M descargas por semana) 
• ansi-regex (243,64 M descargas por semana) 
• supports-color (287,1 M descargas por semana) 
• strip-ansi (261,17 M descargas por semana) 
• chalk (299,99 M descargas por semana) 
• debug (357,6 M descargas por semana) 
• ansi-styles (371,41 M descargas por semana)

 En conjunto, estos paquetes acumulan más de 2.000 millones de descargas por semana. Los paquetes fueron actualizados para incluir un fragmento de código que se ejecutaba en el cliente de un sitio web y que interceptaba de manera silenciosa la actividad relacionada con crypto y web3 en el navegador, manipulaba las interacciones con las carteras digitales y reescribía los destinos de pago, de forma que los fondos y las autorizaciones fueran redirigidos a cuentas controladas por los atacantes, sin que el usuario notara señales evidentes. 

El ataque se dirigió a Josh Junon (alias Qix),  quien recibió un mensaje de correo electrónico que imitaba a npm  («support@npmjs[.]help»), instándole a actualizar sus  credenciales de autenticación de dos factores (2FA) antes del 10 de septiembre de 2025,  haciendo clic en el enlace incrustado.

Se dice que la página de phishing pidió al coadministrador que introdujera  su nombre de usuario, contraseña y token de autenticación de dos factores (2FA),  solo para que fuera robado, probablemente mediante un ataque de tipo «adversario en el medio» (AitM), y utilizado para publicar la versión fraudulenta en el registro npm.

• ansi-regex@6.2.1
• ansi-styles@6.2.2
• backslash@0.2.1
• chalk@5.6.1
• chalk-template@1.1.1
• color-convert@3.1.1
• color-name@2.0.1
• color-string@2.1.1
• debug@4.4.2
• error-ex@1.3.3
• has-ansi@6.0.1
• is-arrayish@0.3.3
• proto-tinker-wc@1.8.7
• supports-hyperlinks@4.1.1
• simple-swizzle@0.2.3
• slice-ansi@7.1.1
• strip-ansi@7.1.1
• supports-color@10.2.1
• supports-hyperlinks@4.1.1
• wrap-ansi@9.0.1

Fuentes:

https://socket.dev/blog/npm-author-qix-compromised-in-major-supply-chain-attack 

https://thehackernews.com/2025/09/20-popular-npm-packages-with-2-billion.html 

https://www.linkedin.com/posts/claudiochn_al-menos-18-paquetes-muy-populares-de-npm-activity-7370905039382470656-P8dS?rcm=ACoAAB13eaAB_b1Gu6plamG_w51Jkf2epkbQuEw