Tensorlake npm 공격과 GitHub 토큰 취소 함정

2026년 10월 8일, 해킹당한 리포지토리 관리자 계정이 실제 Tensorlake SDK에 악성 커밋을 푸시했고, 프로젝트 자체 파이프라인을 통해 이 커밋들이 [email protected]로 npm에 게시되었습니다.

단 하나의 설치 후크가 GitHub 및 npm 토큰을 포함한 개발자 인증 정보를 탈취하도록 제작된 페이로드를 실행하고, 이를 다른 프로젝트로 확산시켰습니다. 가장 악질적인 점은, 탈취된 일부 GitHub 토큰의 경우, 토큰이 취소되면 사용자의 파일을 삭제하려고 시도하는 백그라운드 모니터를 설정했다는 것입니다.

이번 ‘The Weak Link’ 에피소드에서는 악성 코드가 정상적인 빌드 파이프라인을 어떻게 통과하게 되었는지, 정확한 출처 정보가 있다고 해서 코드가 안전하다는 보장이 없는 이유, 설치 스크립트가 실제로 실행되었는지 확인하는 방법, 그리고 피해를 더 키우지 않으면서 위협을 제거하고 자격 증명을 교체하는 방법을 자세히 살펴봅니다.