MAL-2026-16533 — вредоносный код в exodus-firestore-synchronize (npm)

В package.json пакета определён хук postinstall, который автоматически запускается во время npm install. Он выполняет команды whoami и hostname, затем ищет в process.env ключи, соответствующие шаблону /TOKEN|SECRET|KEY|AUTH|npm/i, и выводит совпадения в стандартный вывод. Имя и описание пакета имитируют внутренний «Exodus Wallet SDK», а сам пакет называет себя демонстрацией dependency confusion, опубликованной в публичном реестре. В этой версии отсутствует исходящий сетевой канал; значения и идентификаторы хоста записываются в журнал установки, однако в CI-системах такие журналы часто собираются, архивируются или становятся доступными посторонним.