на github проект были 2 годовой давности, gulp файл, там зависимости были. там github выводил предупреждение о возможной проблеме пакета. т.е. бывает ситуация, что в пакете не обнаруживали ошибки, утечки и т.д., потом появляются и все, твой проект опасен :D