Mastra NPMサプライチェーン攻撃：easy-day-JSのタイポスクワッティングにより140のパッケージがバックドア化

- **Mastra**はAIエージェント向けのTypeScriptフレームワーク（競合はLangChainなど）。2025年3月、同社のnpmエコシステムに急成長しているスタートアップ。 - **サプライチェーン攻撃**：Mastraの全140以上のnpmパッケージに悪意コードが仕込まれた。攻撃者は `@mastra/` スコープの内部依存を乗っ取り、全パッケージにバックドアを埋め込んだ。 - **手口**：正規パッケージ名に酷似したタイポスクワッティングパッケージ `easy-day-js`（実際は `easy-dayjs` か `dayjs` のtypo狙い）を中間依存として忍ばせた。 `postinstall` スクリプトで環境変数からクレデンシャルを窃取し、C2サーバへ送信。 - **影響**：開発者のCI/CD環境やローカルマシンでシークレット（AWSキー、GitHubトークンなど）が漏洩した可能性。Mastraはパッケージを差し替え、影響を受けたバージョン（0.1.57-alpha.1〜0.1.57-alpha.68）を非公開化。 - **背景**：この攻撃は「見た目は本物の依存をnpmからインストールさせる」典型的なオープンソース・サプライチェーン攻撃。2024年以降、AIツール向けパッケージを狙った同種の攻撃が増加傾向にある。