1000 units/month までは無料だしいけるっしょ
セキュリティ インシデント flatmap-stream@0.1.1 と npm-run-all での対応 - Qiita https://qiita.com/mysticatea/items/aac027f9183ea9f0f9b1
とりあえず event-stream のバージョンを 3.3.5 に落として flatmap-stream の依存を削除した
npm backdoored package (event-stream) part of Mastodon dependency tree #9359 https://github.com/tootsuite/mastodon/issues/9359