11 июня 2026 обнаружена атака «Atomic Arch» на Arch User Repository — злоумышленники легально «усыновили» осиротевшие пакеты и изменили PKGBUILD, добавив вредоносный npm-пакет atomic-lockfile. Бинарник на Rust крал SSH-ключи, токены GitHub/npm, cookies, сессии Slack/Discord. Официальные репозитории не пострадали.

Для индустрии это сигнал: supply chain атаки через легальные механизмы опаснее взлома. AUR уязвима к package hijacking через «усыновление». Удаление пакета недостаточно — при root-доступе система скомпрометирована. Требуется переустановка ОС и ротация всех секретов.