یک کمپین بدافزاری در اکوسیستم npm شناسایی شده است که نشان می‌دهد پکیج‌های مخرب npm چگونه با پنهان‌کردن کد مخرب در زمان اجرا (Runtime)، مکانیزم‌های امنیتی اسکریپت‌های نصب را دور می‌زنند. پکیج indexed-btree که خود را به‌عنوان یک کتابخانه معتبر معرفی می‌کند، حدود 2 میلیون دانلود هفتگی داشته است و اطلاعات سیستم را جمع‌آوری کرده و برای مهاجمان ارسال می‌کند. شناسایی 9 پکیج مرتبط دیگر نیز گستردگی این عملیات را نشان می‌دهد؛ رویکردی که بار دیگر اهمیت مانیتورینگ عملکرد وابستگی‌ها در زمان اجرا را نشان داده و پکیج‌های مخرب npm را به تهدیدی جدی برای زنجیره تأمین نرم‌افزار تبدیل می‌کند.