한마디로 엄청나게 많은 수의, 자주 쓰이는 라이브러리들이 피싱공격으로 인해 악성코드로 바뀌었다라고 이해하시면 되겠습니다. (하나의 패키지가 털린게 아닙니다)
공격자는 support[.]npmjs[.]help 라는 피싱 주소를 생성해 피싱 메일을 전송한 뒤 상호작용한 npm 패키지 업로더의 계정을 탈취, 멀웨어를 삽입하는 코드로 바꿔치기하는 공격을 수행했습니다. (올바른 도메인은 npmjs[.]com 입니다) 해당 멀웨어는 브라우저에 악성코드를 삽입해 트랜잭션을 모니터링하고, 프론트 단에서 사용자 트랜잭션을 낚아채 공격자의 주소로 자금을 보내는 형태의 공격을 하는 것으로 알려져 있습니다.
공격당한 패키지들의 주간 다운로드 수를 합치면 대락 20억회정도 된다고 하네요. 그만큼 엄청나게 자주 쓰이는 패키지들이 들어가있습니다. (대표적으로 debug, ansi-styles 등)
그래서 털린 라이브러리들이 어디에 숨어있을지 모르니, 당분간은 지갑 상호작용을 피하시는 것이 바람직합니다. 워낙 많이 쓰이는 패키지들이니 조만간 전부 조치가 취해질 것으로 보입니다.