ChainDrop contaminó 435 paquetes y 1,557 versiones; robó credenciales pese a publicar con atestaciones SLSA válidas.