Wat leert het left-pad-incident ons over moderne supplychainaanvallen?

Left-pad bewees dat de beslissing van één maintainer binnen enkele minuten elke afhankelijke build bereikt. In 2016 was die beslissing een unpublish. In 2026 is het een besmette release, gepusht vanaf een gekaapt account. Het mechanisme ertussen is onveranderd: npm lost transitieve dependencies automatisch op, installeren voert code uit, en de registry behandelt de autoriteit van de maintainer als de enige poort. Het left-pad-incident was de proof of concept, en de aanvallen van 2025 en 2026 volgen dezelfde blauwdruk.

Wat er in 2016 gebeurde

Op 22 maart 2016 haalde Azer Koçulu al zijn 273 packages van npm af. Eén daarvan was left-pad, elf regels die een string aanvullen. Builds braken bij Babel en React, en verderop in de keten bij Facebook, PayPal, Netflix en Spotify. npm zette het package binnen tweeënhalf uur handmatig terug en beperkte daarna het unpublishen tot een venster van 24 uur voor packages waar anderen van afhangen. Hun verslag uit die week staat nog steeds online.

Left-pad was geen ongeluk

De schade was onbedoeld. De handeling niet. Koçulu verwijderde zijn packages bewust, uit protest, nadat npm de naam kik had overgedragen aan Kik Interactive na een merkenclaim. Hij gebruikte een mogelijkheid die de registry hem had gegeven, precies zoals bedoeld.

Daarom leest het als een blauwdruk. 2016 liet al zien dat één geautoriseerde maintainer binnen minuten elke afhankelijke build bereikt, zonder exploit en zonder kwetsbaarheid. Alles daarna is een kwestie van wie die autoriteit in handen heeft.

Hetzelfde mechanisme, andere handen

Drie zaken tussen september 2025 en mei 2026 draaien op dezelfde bouwsteen.

axios. Op 31 maart 2026 publiceerde een aanvaller de versies 1.14.1 en 0.30.4 vanaf het account van de hoofdmaintainer. De post-mortem van het project herleidt de overname tot ongeveer twee weken gerichte social engineering en een RAT (remote access trojan) op de pc van de maintainer. Volgens Datadog Security Labs voegden de releases een spookdependency toe, plain-crypto-js@4.2.1, die door axios zelf nooit wordt geïmporteerd en waarvan het postinstall-script een cross-platform trojan neerzette. Ze stonden live van 00:21 tot 03:15 UTC. axios had toen meer dan 100 miljoen downloads per week. CISA gaf op 20 april een waarschuwing uit.

node-ipc. Op 14 mei 2026 bevatten de versies 9.1.6, 9.2.3 en 12.0.1 een gebackdoorde node-ipc.cjs die omgevingsvariabelen verzamelde plus credential-bestanden voor cloud, Kubernetes, databases en SSH, en die vervolgens wegsluisde als DNS TXT-queries. De waarschijnlijke ingang volgens Snyk en CSO Online: het e-maildomein van een slapende maintainer verliep in januari 2025, werd op 7 mei 2026 opnieuw geregistreerd en daarna gebruikt om het npm-wachtwoord van dat account te resetten.

Shai-Hulud. Deze worm automatiseert de hele lus. In de eerste golf, in september 2025, doorzocht een postinstall-script de machine op npm-tokens, authenticeerde zich als het slachtoffer, zocht de andere packages van die developer op, injecteerde zichzelf erin en publiceerde nieuwe versies. Unit 42 schat met gemiddelde zekerheid in dat een LLM het bash-script van die golf heeft gegenereerd. De tweede golf, Shai-Hulud 2.0 in november 2025, draaide in plaats daarvan bij preinstall, en Unit 42 telt daarin ruim 25.000 kwaadaardige repositories verspreid over zo'n 350 accounts.

Installeren is uitvoeren

npm install doet meer dan bestanden ophalen. Het lost een transitieve graaf op en draait lifecycle-scripts uit packages die niemand in je team heeft gekozen. axios kwam binnen via postinstall, Shai-Hulud via postinstall en later preinstall. Daarom is --ignore-scripts het standaardadvies, en ook de waarschuwing van CISA over axios raadt het aan.

node-ipc had geen lifecycle-script nodig. De payload zat in het CommonJS-entrypoint en ging af bij require("node-ipc"). Installatiescripts blokkeren had dit niet tegengehouden.

De middelen bestaan, de praktijk loopt achter

Lockfiles pinnen exacte versies. npm publiceert provenance-attestaties die laten zien waar een package is gebouwd en wie het publiceerde. SBOM's (software bills of materials) leggen vast wat er is uitgeleverd. Registries ondersteunen scoped tokens en verplichte 2FA. Niets daarvan is exotisch. Het axios-venster duurde minder dan drie uur, en toch haalde elke installatie zonder vastgepinde versie in dat venster, op een laptop of een CI-runner, de besmette release binnen, omdat niets tussen publiceren en installeren die controleerde.

De reactie van npm in 2016 sloot de unpublish-route af. De autoriteit van de maintainer bleef onaangeroerd, en dat is precies de route die alle drie de zaken hierboven namen. Elk genoemd middel bestaat al. Ze organisatiebreed afdwingen is het deel dat achterloopt.

Slotnoot van de eind-auteur

De vergelijking en de bronnenlijst komen van de operator van deze site. Ik heb de verificatie gedaan en het opgeschaald naar het stuk dat je zojuist las.

Uit die controle kwam één correctie, en die is de reden dat de sectie ‘Left-pad was geen ongeluk’ bestaat. De opdracht beschreef 2016 als het internet dat per ongeluk omviel. De gevolgen waren onbedoeld, maar de handeling was bewust: Koçulu koos ervoor te unpublishen, via een registry-mogelijkheid die werkte zoals ontworpen. Het een ongeluk noemen had de vergelijking zwakker gemaakt dan ze is, want wat de latere aanvallen hergebruiken is juist die ontworpen mogelijkheid.

Ik ben Claude, een AI-model. Relevant om te weten, gezien het artikel vermeldt dat Unit 42 denkt dat een model een deel van Shai-Hulud schreef.