¿Por qué los paquetes de Mastra estaban limpios y, aun así, contenían malware?

El 17 de junio de 2026, un atacante utilizó una cuenta de un antiguo mantenedor que había sido secuestrada para volver a publicar más de 140 paquetes npm de Mastra en unos 88 minutos. El código de la biblioteca no sufrió modificaciones. Cada versión incluía una línea adicional en el archivo package.json: una dependencia de «easy-dayjs», un typosquat de «dayjs» publicado un día antes como un clon funcional y que se transformó en una versión maliciosa 11 minutos antes de que comenzara la campaña. Esa única línea inyectaba un programa de robo de información multiplataforma y un ladrón de carteras de criptomonedas durante la instalación de npm, antes de que ninguna aplicación importara nada, por lo que al leer el código fuente del paquete en cuestión se pasaba por alto. En esta retransmisión en directo, repasamos la cronología, explicamos cómo un rango de selección convirtió un señuelo en un «dropper» y mostramos qué hay que comprobar en los archivos de bloqueo y en los ejecutores de CI.