Pourquoi les paquets Mastra, pourtant « propres », contenaient-ils tout de même des logiciels malveillants ?

Le 17 juin 2026, un pirate a utilisé le compte piraté d’un ancien responsable de maintenance pour republier plus de 140 paquets npm Mastra en environ 88 minutes. Le code de la bibliothèque n’a pas été modifié. Chaque version comportait une ligne supplémentaire dans le fichier package.json : une dépendance à « easy-dayjs », un typosquat de « dayjs » publié la veille sous la forme d’un clone fonctionnel, puis remplacé par une version malveillante 11 minutes avant le début de l’opération de nettoyage. Cette seule ligne injectait un voleur d’informations multiplateforme et un voleur de portefeuille cryptographique lors de l’installation via npm, avant même que l’application n’importe quoi que ce soit. C’est pourquoi une simple lecture du code source du paquet en question ne permettait pas de le détecter. Dans ce live, nous retraçons la chronologie des événements, expliquons comment une plage de caractères a transformé un leurre en dropper, et montrons ce qu’il faut vérifier dans les fichiers de verrouillage et les exécuteurs CI.