Два аккаунта npm опубликовали 148 пакетов, а загрузчик получал код из изменяемой ветки GitHub без проверки целостности.