За 18 дней после релиза @bitwarden/cli версии 2026.4.0 червь Shai-Hulud 2.0 скомпрометировал npm-токены в 47 странах — и это только те случаи, которые Checkmarx успела задокументировать. TeamPCP доказала, что npm-экосистема стала платформой для самовоспроизводящегося малвара корпоративного уровня.