Por que os pacotes do Mastra estavam limpos e, mesmo assim, distribuíam malware

Em 17 de junho de 2026, um invasor utilizou uma conta de um ex-mantenedor que havia sido comprometida para republicar mais de 140 pacotes npm do Mastra em aproximadamente 88 minutos. O código da biblioteca permaneceu inalterado. Cada versão trazia uma linha extra no arquivo package.json: uma dependência do `easy-dayjs`, um typosquat do `dayjs` publicado um dia antes como um clone funcional e que foi alterado para uma versão maliciosa 11 minutos antes do início da varredura. Essa única linha instalava um programa de roubo de informações multiplataforma e um ladrão de carteiras de criptomoedas durante a instalação via `npm install`, antes mesmo de qualquer aplicativo importar qualquer coisa — e é por isso que uma análise do código-fonte do pacote em questão não detectaria a vulnerabilidade. Nesta transmissão ao vivo, traçamos a linha do tempo, explicamos como um intervalo de caracteres transformou um isca em um dropper e mostramos o que verificar em arquivos de bloqueio e executores de CI.