今天（2026年3月31日）确实发生了 Axios 供应链投毒事件：恶意版本 [email protected] 和 [email protected] 被发布（通过维护者账号被劫持），它们偷偷引入了一个假依赖 [email protected]，其 postinstall 脚本会在 npm install 时自动下载并执行跨平台远程访问木马（RAT）。恶意脚本执行后会自我删除痕迹，伪装成系统进程连接 C2 服务器。…