Paquete de código abierto con 1 millón de descargas mensuales robó credenciales de usuarios 28 abril, 2026