ב-11 במאי 2026 תוקף פרסם 84 גרסאות זדוניות של חבילות TanStack ב-npm. הנוזקה אספה מפתחות וסיסמאות בזמן ההתקנה, ובהמשך הגיעה גם לחבילות של Mistral AI.
לכתבה המלאהב-22 באפריל 2026 פורסמה ב-npm הגרסה 2026.4.0 של Bitwarden CLI, עם קוד שגונב אסימונים ומפתחות. Bitwarden מסרה שכספות המשתמשים לא נפגעו, והקשרה את האירוע לפריצה ל-Checkmarx.
גרסה 2.1.88 של Claude Code ב-npm כללה קובץ source map ששחזר כ-512 אלף שורות קוד. Anthropic קוראת לזה טעות אריזה, ובינתיים מאגרי GitHub מזויפים מפיצים נוזקה.
ב-31 במרץ 2026 תוקפים השתלטו על חשבון המתחזק של Axios ופרסמו שתי גרסאות עם נוזקה. לפי Google, מאחורי המתקפה עומדת קבוצה צפון קוריאנית.
חבילת npm בשם lotusbail התחזתה לספריית WhatsApp Web API, עבדה כמצופה וגנבה הודעות ואנשי קשר. לפי Koi Security היא הורדה מעל 56 אלף פעמים, ו-npm החליפה אותה ב-23 בדצמבר 2025.
ב-24 בנובמבר 2025 הזהירה Wiz מגל חדש של Shai-Hulud: חבילות npm של Zapier, PostHog ו-Postman הוחלפו בגרסאות זדוניות, ומעל 25 אלף מאגרי GitHub חשפו סודות שנגנבו.
ב-23 בספטמבר 2025 פרסמה CISA התראה על תולעת Shai-Hulud ב-npm. היא גונבת טוקנים ומפתחות ענן ומפיצה את עצמה, ו-CISA מפרטת מה לעשות.
