Сам npm может быть, но там куча пакетов, которые сами что-то качают в момент установки.
не, там можно всё сделать по-человечески. хотя с этим тоже проблема, потому что людей которые хотят опакетить больше 3 тысяч пакетов, обычно нескольких версий - очень мало. поэтому в новости тоже была пометка про nodejs :) там с экосистемой всё плохо. я видел, что люди там чуть ли mkdir -p в отдельную библиотеку засовывают.