NPM-paket med 2,6 miljarder nedladdningar varje vecka kapas – angripare injicerar skadlig kod i webbläsaren för att stjäla krypto och ersätter plånboksadresser i 18 stora bibliotek