Вредоносный пакет Nx запускал Claude Code без подтверждений

В npm-пакете nx 21.5.0 нашли postinstall-скрипт, который запускал Claude Code, Gemini CLI и Q с отключёнными подтверждениями и искал файлы с секретами. За два часа вышло ещё семь вредоносных версий; GitGuardian насчитала 2349 секретов в созданных публичных репозиториях и 10 767 раскрытых приватных репозиториев.

• nx 21.5.0 с telemetry.js опубликован 26 августа 2025 года в 22:32 UTC
• Скрипт запускал claude, gemini и q с флагами обхода подтверждений
• GitGuardian: 2349 секретов в публичных репозиториях жертв
• Вторая волна 28 августа раскрыла 10 767 приватных репозиториев