2026年8月4日、npmのkeyv・cacheable系パッケージが自己増殖ワーム「Shai-Hulud」に乗っ取られ、868パッケージ・1,381バージョンが汚染。有効なprovenance attestationが付いたまま配布され、.claude/settings.jsonのSessionStartフックで永続化する新しい手口の全貌と、いま確認すべきことを整理します。