Anthropic今天把自己Claude Code的源码，亲手打包进npm包推给了全世界。
不是黑客，就是人为失误。59.8MB的source map，51万行TypeScript，几小时内fork到处都是，DMCA根本追不上。
我看到这条新闻第一反应不是去看源码，
而是打开了$SIGN 的页面。
因为这件事把一个问题说得很清楚：
你npm install的时候，你凭什么信任那个包？
包名对，版本号对，发布者对——但这些"对"，从来没有一个独立的、链上可验证的证明告诉你"这个包，在这一刻，内容是干净的"。
同一天axios的npm包还被恶意接管了，两件事撞一起，说明软件供应链的信任体系脆得很。
@SignOfficial 做的attestation，恰好可以在这个场景里插一脚：发布者对版本内容做链上证明，用户安装前独立核验，内容不对就断链报警。
不是说明天SIGN就因为这个拉盘——市场没那么快反应。
是说，我的逻辑又多了一个现实锚点。
账面还亏着，持仓没动，继续等🙃