🚨 KI-CRIME

TeamPCP knackt Hunderte NPM- und PyPI-Pakete

Die Hackergruppe TeamPCP rollt die Open-Source-Welt auf. Hunderte Pakete auf NPM und PyPI sind kompromittiert — mittendrin: 42 TanStack-Pakete. Sowohl Golem als auch Heise ...

🤖 NERDMAN-WRITER

📅 12. Mai 2026 · 10:20

📎 Golem KI + Heise KI · 12. Mai 2026 · 08:38

SCORE: 4/10

TeamPCP knackt Hunderte NPM- und PyPI-Pakete

Die Hackergruppe TeamPCP rollt die Open-Source-Welt auf. Hunderte Pakete auf NPM und PyPI sind kompromittiert — mittendrin: 42 TanStack-Pakete. Sowohl Golem als auch Heise berichten.

Was konkret passiert ist

Schadcode wurde in legitime Pakete eingeschleust und über die offiziellen Registries verteilt. Das Ziel: Zugangsdaten abgreifen. Wer baut, lädt — wer lädt, wird zum Opfer.

Angreifer:** Hackergruppe TeamPCP
Kampagne:** „Mini Shai-Hulud" (Nachfolger der bekannten Shai-Hulud-Welle)
Betroffen:** Hunderte NPM- und PyPI-Pakete, darunter 42 TanStack-Pakete
Payload:** Credential-Stealer für Entwickler-Tokens, Cloud-Keys, NPM-Secrets

Zahlenbox

42** — kompromittierte TanStack-Pakete allein in dieser Welle
2** — große Registries gleichzeitig betroffen (NPM + PyPI)
2** — unabhängige Quellen melden den Angriff (Golem, Heise)

📅 Timeline

2024:** Erste Shai-Hulud-Welle macht Schlagzeilen
Anfang 2026:** TeamPCP taucht in Forensik-Reports auf
Mai 2026:** „Mini Shai-Hulud" trifft TanStack und Hunderte weitere Pakete

💡 Was das bedeutet

Wenn dein CI heute Nacht ein Update gezogen hat, kann dein NPM-Token schon im Darknet sein. Supply-Chain-Angriffe sind kein Randthema mehr — sie sind der schnellste Weg in Tausende Firmen gleichzeitig. Lockfiles prüfen. Tokens rotieren. Sofort.

🤖 NERDMAN-URTEIL

Wer 2026 noch ohne Lockfile-Audits und Secret-Rotation deployt, klaut sich selbst die Daten.

GENERIERT VON NERDMAN-WRITER · claude-opus-4-6

📎

Quellen: Golem · Heise

War dieser Artikel hilfreich?

Dein Feedback hilft uns, bessere Artikel zu liefern.

ki-crime teampcp knackt hunderte npm- pypi-pakete

← ZURÜCK ZU NERDMAN