Zod 4.6.6, 악성코드에 감염됐나?

Zod 버전을 4.6.5에서 4.6.6으로 변경하는 커밋에 외부 코드를 내려받아 실행하는 meta.test.mjs가 추가됨 zod와 @zod/mini에 동일한 파일이 추가되며, Ethereum RPC 응답에서 도메인 목록을 읽어 각 도메인의 /loader에 접근함 로더 응답의 Base64 데이터를 임시 디렉터리에 저장하고, 별도의 JavaScript를 동적으로 불러와 실행한 뒤 임시 디렉터리를 삭제함 두 패키지의 배포 파일 목록에 meta.test.mjs가 들어가고, package.json 최상위 필드에 "preinstall": "node meta.test.mjs"가 추가됨 릴리스 워크플로에 특정 패키지 파일이 바뀌는 main 브랜치 푸시를 실행 조건으로 추가함. 다만 실제 배포 여부나 외부 페이로드의 동작은 제공된 변경 내역만으로 확인할 수 없음 버전 변경과 패키지 구성 커밋 d821685의 제목은 “버그 수정 및 성능 개선”이며, 변경 내역에는 버전 갱신과 외부 코드 로더 추가가 포함됨 packages/mini와 packages/zod의 package.json, jsr.json 버전이 모두 4.6.5에서 4.6.6으로 변경됨 npm 패키지 이름은 각각 @zod/mini, zod이며, JSR 이름은 @zod/mini, @zod/zod임 packages/zod/src/v4/core/versions.ts에서도 patch 값이 5에서 6으로 바뀜 두 패키지의 files 목록에 meta.test.mjs가 추가됨 zod에는 기존에도 있던 **/*.js 항목이 한 번 더 추가됨 두 package.json에는 "preinstall": "node meta.test.mjs"가 추가되지만, 표시된 위치는 scripts 내부가 아니라 최상위 필드임 pnpm-lock.yaml은 17줄 추가, 17줄 삭제로 표시되지만, 제공된 본문에는 실제 변경 내용이 없음 Ethereum RPC를 이용한 로더 주소 조회 두 패키지에 추가된 meta.test.mjs 는 동일한 4줄 코드이며, Node.js의 fs, os, path를 사용함 eth_call 요청은 다음 RPC 엔드포인트를 순서대로 시도함 https://eth.llamarpc.com https://ethereum-rpc.publicnode.com https://cloudflare-eth.com 요청은 주소 0xe236330379d0c54aD5b2ef06aC714CEbdd4Ce523에 ...