แพ็กเกจ NPM "@ctrl/tinycolor" ซึ่งมียอดดาวน์โหลด 2.2 ล้านครั้งต่อสัปดาห์ ถูกโจมตีโดยการโจมตีห่วงโซ่อุปทานที่มีโปรแกรมขโมยข้อมูลอันเป็นอันตราย

BlockBeats รายงานว่า Scam Sniffer ได้เตือนเมื่อวันที่ 16 กันยายนว่าแพ็กเกจ NPM "@ctrl/tinycolor" ซึ่งมียอดดาวน์โหลด 2.2 ล้านครั้งต่อสัปดาห์ ได้ติดมัลแวร์เวอร์ชันอันตราย ช่องโหว่นี้รันโปรแกรมขโมยข้อมูลในระหว่างกระบวนการติดตั้ง npm โดยใช้เครื่องมือ TruffleHog ที่ถูกกฎหมายเพื่อสแกนและดึงข้อมูลสำคัญออก มีแพ็กเกจที่ได้รับผลกระทบประมาณ 40 แพ็กเกจ ผู้ใช้ควรตรวจสอบทันทีว่าได้ติดตั้งเวอร์ชันที่ได้รับผลกระทบแล้วหรือไม่ ระงับการอัปเดต และล็อกเวอร์ชันที่ปลอดภัยไว้