AnswersPublished31 sources
145 חבילות Mastra נפרצו ב-npm: מתקפת שרשרת אספקה מהירה נגד מפתחי AI
ב 17 ביוני 2026 השתלטה קבוצת Sapphire Sleet על חשבון של מתחזק Mastra והפיצה 145 חבילות npm זדוניות בתוך כ 88 דקות; יחד הן הורדו יותר מ 1.1 מיליון פעמים בשבוע [2][3][8]. הקוד הזדוני הופעל אוטומטית במהלך npm install באמצעות סקריפט postinstall, וגנב מפתחות לארנקי מטבעות קריפטוגרפיים, הרשאות ענן וסודות CI/CD [3][5][8].
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
Research answer
Key takeaways
- ב 17 ביוני 2026 השתלטה קבוצת Sapphire Sleet על חשבון של מתחזק Mastra והפיצה 145 חבילות npm זדוניות בתוך כ 88 דקות; יחד הן הורדו יותר מ 1.1 מיליון פעמים בשבוע [2][3][8].
- הקוד הזדוני הופעל אוטומטית במהלך npm install באמצעות סקריפט postinstall, וגנב מפתחות לארנקי מטבעות קריפטוגרפיים, הרשאות ענן וסודות CI/CD [3][5][8].
- מיקרוסופט מקצרת את תוקף מפתחות ה API החדשים של NuGet ל 30 יום וממליצה לעבור ל Trusted Publishing המבוסס על OIDC [3][5][23][34].
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did a North Korean hacking group compromise over 130 packages in the Mastra AI framework on npm, and what security measures has Microsof. Article summary: Let me get more details on the attack mechanism and Microsoft's specific security response. Topic tags: general, general web, documentation, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not
ב-17 ביוני 2026 ביצעה קבוצת ההאקרים בחסות צפון קוריאה Sapphire Sleet — המוכרת גם בשמות BlueNoroff ו-APT38 — מתקפת שרשרת אספקת תוכנה מהירה במיוחד נגד סביבת הפיתוח של Mastra. בתוך כ-88 דקות היא הצליחה לפרסם מחדש 145 חבילות תחת מרחב השמות @mastra/* ב-npm, מאגר החבילות הפופולרי של JavaScript ו-TypeScript .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "145 חבילות Mastra נפרצו ב-npm: מתקפת שרשרת אספקה מהירה נגד מפתחי AI"?
ב 17 ביוני 2026 השתלטה קבוצת Sapphire Sleet על חשבון של מתחזק Mastra והפיצה 145 חבילות npm זדוניות בתוך כ 88 דקות; יחד הן הורדו יותר מ 1.1 מיליון פעמים בשבוע [2][3][8].
What are the key points to validate first?
ב 17 ביוני 2026 השתלטה קבוצת Sapphire Sleet על חשבון של מתחזק Mastra והפיצה 145 חבילות npm זדוניות בתוך כ 88 דקות; יחד הן הורדו יותר מ 1.1 מיליון פעמים בשבוע [2][3][8]. הקוד הזדוני הופעל אוטומטית במהלך npm install באמצעות סקריפט postinstall, וגנב מפתחות לארנקי מטבעות קריפטוגרפיים, הרשאות ענן וסודות CI/CD [3][5][8].
What should I do next in practice?
מיקרוסופט מקצרת את תוקף מפתחות ה API החדשים של NuGet ל 30 יום וממליצה לעבור ל Trusted Publishing המבוסס על OIDC [3][5][23][34].
Sources
thehackernews.com145 Mastra npm Packages Compromised via Hijacked ...
microsoft.comFrom package to postinstall payload: Inside the Mastra npm supply chain compromise by Sapphire Sleet | Microsoft Security Blog
labs.cloudsecurityalliance.orgSapphire Sleet Poisons Mastra AI npm Supply Chain – Lab Space
infosecurity-magazine.comMicrosoft Attributes Mastra AI Supply Chain Attack to North ...
