마스트라 패키지가 깨끗했음에도 불구하고 왜 악성코드가 함께 배포되었는가

2026년 6월 17일, 한 공격자가 탈취한 전 유지보수자의 계정을 이용해 약 88분 만에 140개 이상의 Mastra npm 패키지를 재게시했습니다. 라이브러리 코드 자체는 변경되지 않았습니다. 모든 릴리스의 package.json에는 ‘easy-dayjs’에 대한 의존성이라는 한 줄이 추가되어 있었는데, 이는 하루 전에 정상적으로 작동하는 복제본으로 공개된 dayjs의 타이포스쿼트(typosquat)였으며, 공격이 시작되기 11분 전에 악성 버전으로 전환된 것이었습니다. 이 한 줄은 npm install 과정에서, 어떤 애플리케이션도 어떤 것도 임포트하기 전에 크로스 플랫폼 정보 탈취 프로그램과 암호화폐 지갑 탈취 프로그램을 전달했으며, 이것이 바로 해당 패키지의 소스 코드를 읽어도 이를 놓치게 되는 이유입니다. 이번 라이브 스트리밍에서는 사건의 타임라인을 추적하고, 캐럿 범위(caret range)가 어떻게 미끼를 드로퍼로 변모시켰는지 설명하며, 잠금 파일(lock files)과 CI 러너에서 무엇을 확인해야 하는지 보여드립니다.