ChainCatcher 消息，慢雾科技首席信息安全官 23pds 发布安全预警，NPM 供应链攻击的最新变种 “Shai-Hulud 3” 再次来袭，请各项目方和平台注意防范，此前怀疑 Trust Wallet API key 泄露可能为 Shai-Hulud 2 攻击导致。
Shai-Hulud 是一系列针对 NPM 生态的自传播蠕虫式供应链攻击，用于窃取开发者凭证、云密钥和环境秘密。最新变种（社区称为 Shai-Hulud 3 或新 strain）于 2025 年 12 月 28 日被 Aikido Security 研究员 Charlie Eriksen 发现，目前传播范围有限，可能仅为测试阶段。
