Al menos 18 paquetes muy populares de NPM han sido comprometidos. En conjunto, estos paquetes superan las 2.000 millones de descargas semanales, lo que convierte esta brecha en un ataque de proporciones colosales. Fueron modificados para incluir un fragmento de código altamente malicioso, capaz de ejecutarse directamente en el cliente de un sitio web.

Github ha sido motivo de polémica en las últimas horas. Un desarrollador de código abierto, Marak Squires o Marak en Twitter, ha denunciado que la plataforma ha cerrado sus cuentas y proyectos (cientos, según él), después de cambiar dos bibliotecas creadas por él mismo a una versión diferente. Las bibliotecas cambiadas son utilizadas por muchas personas y se llaman 'colors' y 'faker'.

 Descubiertos dos paquetes pertenecientes a NPM que podrían contener malware que requieren volver a versiones anteriores. Los paquetes «coa» y «rc» estaban comprometidos, y tienen una alta popularidad, contando con unas 22 millones de descargas semanales.