O hash que não bate

Para cada pacote, o package-lock.json guarda um campo integrity: o hash sha512 do arquivo (tarball) que foi de fato instalado. O registro publica, para cada pacote, o hash que o arquivo deveria ter: isso está em registry-integrity.txt.

Se o hash do lockfile não bate com o do registro, aquele pacote foi trocado no caminho (um espelho serviu um arquivo adulterado). Compare os dois arquivos e descubra qual pacote foi trocado.

Responda no formato de flag com o nome do pacote, por exemplo tocaia{config-loader} (que não é a resposta).