Клоны NPM-пакета с 8 млн загрузок в неделю добывают Monero и крадут пароли