В npm чисто, в GitHub — загрузчик шпиона. Хакеры подменили код библиотеки antd-img-crop

Одна строка в package.json превращала обычную сборку проекта в запуск вредоносной цепочки, а подмену выдавал только журнал ...