Sapphire Sleet: Wie leere Ethereum-Transaktionen npm-Malware verstecken
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü... Die neue Blockchain Technik NullReceiver liest die Adresse eines Malware Servers aus dem Ziel ei...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü...
Die neue Blockchain Technik NullReceiver liest die Adresse eines Malware Servers aus dem Ziel einer Ethereum Transaktion ohne Wert und ohne Nutzdaten [17][18][21].
Microsoft ordnete Sapphire Sleet außerdem einen separaten npm Angriff auf mehr als 140 Mastra Pakete im Juni 2026 mit hoher Sicherheit zu [16][32].
What are the key details of the recent North Korean-linked npm supply-chain attacks, including the Sapphire Sleet campaign targeting packageDigital concept of blockchain-based malware command-and-control infrastructure, illustrating how the NullReceiver technique hides C2 server addresses inside zero-value Ethereum transactions.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What are the key details of the recent North Korean-linked npm supply-chain attacks, including the Sapphire Sleet campaign targeting package. Article summary: Here is a concise breakdown of the key details based on the available evidence.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Die nächste Generation von Supply-Chain-Angriffen tarnt sich nicht nur als vertrauenswürdige Open-Source-Software. Sie nutzt inzwischen auch die öffentliche Blockchain als Wegweiser zu Malware-Servern.
Über einen Zeitraum von 18 Monaten, beginnend im März 2025, wurden vier verbreitete npm-Pakete kompromittiert. Amazon Threat Intelligence (ATI) führt die Vorfälle mit mittlerer Sicherheitseinschätzung auf den nordkoreanischen, finanziell motivierten Akteur Sapphire Sleet zurück. Die Gruppe ist auch unter den Namen BlueNoroff, Stardust Chollima, CageyChameleon und Alluring Pisces bekannt .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Sapphire Sleet: Wie leere Ethereum-Transaktionen npm-Malware verstecken“?
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü... Die neue Blockchain Technik NullReceiver liest die Adresse eines Malware Servers aus dem Ziel einer Ethereum Transaktion ohne Wert und ohne Nutzdaten [17][18][21].
Was soll ich als nächstes in der Praxis tun?
Microsoft ordnete Sapphire Sleet außerdem einen separaten npm Angriff auf mehr als 140 Mastra Pakete im Juni 2026 mit hoher Sicherheit zu [16][32].
Sapphire Sleet: Wie leere Ethereum-Transaktionen npm-Malware verstecken
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü... Die neue Blockchain Technik NullReceiver liest die Adresse eines Malware Servers aus dem Ziel ei...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü...
Die neue Blockchain Technik NullReceiver liest die Adresse eines Malware Servers aus dem Ziel einer Ethereum Transaktion ohne Wert und ohne Nutzdaten [17][18][21].
Microsoft ordnete Sapphire Sleet außerdem einen separaten npm Angriff auf mehr als 140 Mastra Pakete im Juni 2026 mit hoher Sicherheit zu [16][32].
What are the key details of the recent North Korean-linked npm supply-chain attacks, including the Sapphire Sleet campaign targeting packageDigital concept of blockchain-based malware command-and-control infrastructure, illustrating how the NullReceiver technique hides C2 server addresses inside zero-value Ethereum transactions.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What are the key details of the recent North Korean-linked npm supply-chain attacks, including the Sapphire Sleet campaign targeting package. Article summary: Here is a concise breakdown of the key details based on the available evidence.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Die nächste Generation von Supply-Chain-Angriffen tarnt sich nicht nur als vertrauenswürdige Open-Source-Software. Sie nutzt inzwischen auch die öffentliche Blockchain als Wegweiser zu Malware-Servern.
Über einen Zeitraum von 18 Monaten, beginnend im März 2025, wurden vier verbreitete npm-Pakete kompromittiert. Amazon Threat Intelligence (ATI) führt die Vorfälle mit mittlerer Sicherheitseinschätzung auf den nordkoreanischen, finanziell motivierten Akteur Sapphire Sleet zurück. Die Gruppe ist auch unter den Namen BlueNoroff, Stardust Chollima, CageyChameleon und Alluring Pisces bekannt .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Sapphire Sleet: Wie leere Ethereum-Transaktionen npm-Malware verstecken“?
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Amazon Threat Intelligence führt die Kompromittierungen von typo crypto, debug, chalk und axios zwischen März 2025 und März 2026 mit mittlerer Sicherheitseinschätzung auf die nordkoreanische Gruppe Sapphire Sleet zurü... Die neue Blockchain Technik NullReceiver liest die Adresse eines Malware Servers aus dem Ziel einer Ethereum Transaktion ohne Wert und ohne Nutzdaten [17][18][21].
Was soll ich als nächstes in der Praxis tun?
Microsoft ordnete Sapphire Sleet außerdem einen separaten npm Angriff auf mehr als 140 Mastra Pakete im Juni 2026 mit hoher Sicherheit zu [16][32].
npm ist die zentrale Paketverwaltung für die JavaScript- und Node.js-Welt. Wird ein beliebtes Paket manipuliert, kann sich Schadcode über Entwicklerrechner, Build-Systeme und Cloud-Umgebungen verbreiten – oft ohne dass die Betroffenen eine verdächtige Datei manuell öffnen müssen.
Die von Amazon beschriebenen Vorfälle im Überblick :
typo-crypto – März 2025: Der vergleichsweise frühe Angriff könnte als Testlauf für die späteren Kampagnen gedient haben. Amazon geht davon aus, dass die Angreifer dabei ihre Vorgehensweise verfeinerten .
debug und chalk – September 2025: Beide Bibliotheken gehören zu den am häufigsten heruntergeladenen npm-Paketen; allein debug kommt auf Milliarden Downloads pro Woche. Die Angreifer sollen den Maintainer über eine ähnlich aussehende npm-Domain getäuscht und anschließend mindestens 18 manipulierte Versionen veröffentlicht haben. Darin steckte unter anderem ein Skript zum Leeren von Krypto-Wallets . Schätzungen zufolge waren innerhalb von zwei Stunden nach der Veröffentlichung rund 10 Prozent der Cloud-Umgebungen betroffen .
axios – März 2026: Die beliebte HTTP-Client-Bibliothek, die JavaScript-Anwendungen den Zugriff auf REST-Schnittstellen erleichtert, verzeichnete damals mehr als 70 Millionen Downloads pro Woche . Die Versionen 1.14.1 und 0.30.4 enthielten eine schädliche Abhängigkeit, die einen Remote-Access-Trojaner nachladen konnte .
Die Angreifer kombinierten Social Engineering – etwa den Aufbau von Beziehungen zu Maintainerinnen und Maintainer sowie den Diebstahl von Zugangsdaten – mit mutmaßlich KI-generiertem Code, der die Erkennung erschweren sollte . Statt die eigentliche Laufzeitlogik der Bibliotheken offensichtlich zu verändern, schleusten sie manipulierte Updates ein. Diese konnten bei der Installation auf den Rechnern von Entwicklern Wallets und Zugangsdaten angreifen .
Microsoft Threat Intelligence ordnete Sapphire Sleet außerdem mit hoher Sicherheit einen separaten Angriff auf die npm-Pakete des KI-Frameworks Mastra zu. Am 17. Juni 2026 wurden innerhalb von 45 Minuten mehr als 140 manipulierte Pakete veröffentlicht .
NullReceiver: Der Malware-Server steckt in der Empfängeradresse
Parallel dazu dokumentierten Sicherheitsforscher von OpenSource Malware eine neue Blockchain-basierte Technik namens NullReceiver. Sie wurde in den trojanisierten npm-Paketen bianira-ui@1.27.0 und fluid-type-ui@2.0.8 gefunden. Beide Pakete geben sich als legitime Tailwind-CSS-Plugins aus und werden mit der Kampagne „Contagious Interview“ in Verbindung gebracht .
Der technische Ablauf :
Die Malware enthält eine fest kodierte Ethereum-Wallet-Adresse: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a.
Zur Laufzeit fragt sie die Blockchain nach der jüngsten ausgehenden Transaktion dieser Wallet ab.
Sie liest die Zieladresse der aktuellsten Ethereum-Überweisung aus – obwohl die Transaktion keinen Ether-Wert und keine Nutzdaten enthält.
Die Bytes dieser Zieladresse werden dekodiert und ergeben die IP-Adresse des nächsten Command-and-Control-Servers (C2-Servers).
Für herkömmliche Überwachung sieht das zunächst wie eine gewöhnliche Krypto-Transaktion aus. Es gibt weder einen auffälligen Dateninhalt noch eine versteckte Domain oder eine statisch im Malware-Code enthaltene IP-Adresse. NullReceiver verlagert das „Geheimnis“ damit aus den Transaktionsdaten in die Empfängeradresse selbst – eine Weiterentwicklung früherer Ansätze wie EtherHiding .
Bei EtherHiding wurde schädlicher Code beziehungsweise eine Infrastrukturinformation in Blockchain-Daten oder Smart Contracts versteckt. NullReceiver geht einen unauffälligeren Weg: Die Malware benötigt lediglich eine bestimmte Angreifer-Wallet und beobachtet deren jüngste Transaktion.
Was Sicherheitsanbieter daraus ableiten
Mehrere große Sicherheitsunternehmen kommen bei den npm-Vorfällen zu einer ähnlichen Einschätzung:
Amazon Threat Intelligence verbindet die vier Paketkompromittierungen anhand gemeinsamer C2-Indikatoren, wiederverwendetem Code, Post-Install-Skripten und weiterer Taktiken mit Sapphire Sleet – allerdings mit mittlerer Sicherheit .
Microsoft Threat Intelligence schreibt der Gruppe mit hoher Sicherheit den Mastra-Angriff zu und ordnete auch den axios-Vorfall Sapphire Sleet zu . Microsoft dokumentierte zudem macOS-Kampagnen, bei denen die Gruppe Köder im Stil von Microsoft Teams nutzte .
Google Threat Intelligence führt den axios-Angriff demselben Akteur zu, den Google als UNC1069 verfolgt .
US-Behörden und verbündete Cybersecurity-Stellen warnen zunehmend vor nordkoreanisch unterstütztem Diebstahl von Kryptowährungen über kompromittierte Open-Source-Software . Laut TRM Labs entfielen 2026 schätzungsweise 76 Prozent des Werts aller Krypto-Hacks auf Nordkorea. Diese Zahl lässt sich jedoch nicht ausschließlich auf die npm-Angriffe zurückführen .
In der vorliegenden Quellenlage findet sich keine ausdrückliche öffentliche Erklärung der nordkoreanischen Regierung, die sich konkret gegen die Vorwürfe zu Sapphire Sleet oder NullReceiver richtet. Eine solche Stellungnahme sollte daher nicht als belegt dargestellt werden.
Was Entwicklerteams jetzt beachten sollten
NullReceiver zeigt, warum klassische Schutzmaßnahmen allein nicht ausreichen: Eine Abwehr, die nur nach verdächtigen Domains, festen IP-Adressen oder auffälligen Blockchain-Nutzdaten sucht, kann diese Technik übersehen.
Sicherheitsverantwortliche und Entwicklerteams sollten deshalb mehrere Schutzschichten kombinieren :
Abhängigkeiten vollständig erfassen: Eine Software Bill of Materials (SBOM) und ein gepflegtes Verzeichnis aller Pakete erleichtern die Suche nach unerwarteten Änderungen.
Neue Versionen nicht sofort installieren: Eine Quarantäne- oder Abkühlphase von 24 bis 72 Stunden kann schnelle Vergiftungsangriffe abfangen, bevor eine manipulierte Version in Builds gelangt .
Lifecycle- und Post-Install-Skripte begrenzen: Wo möglich, sollten Installationsskripte deaktiviert und Pakete reproduzierbar sowie versionsgenau installiert werden.
Automatische Updates kontrollieren: Änderungen an Maintainer-Konten, Paketversionen und Installationsverhalten sollten überwacht werden.
Bei einem Verdacht umfassend reagieren: Ein kompromittiertes Paket ist nicht nur ein Bibliotheksproblem. Betroffene Systeme sollten isoliert, Zugangsdaten und Tokens gegebenenfalls ausgetauscht und mögliche Folgeaktivitäten überwacht werden.
Die zentrale Lehre lautet: Auch ein Paket, das seit Jahren vertrauenswürdig wirkt, bleibt Teil der Angriffsfläche. Und selbst eine scheinbar leere Blockchain-Transaktion kann für Malware eine wichtige Nachricht enthalten.
npm ist die zentrale Paketverwaltung für die JavaScript- und Node.js-Welt. Wird ein beliebtes Paket manipuliert, kann sich Schadcode über Entwicklerrechner, Build-Systeme und Cloud-Umgebungen verbreiten – oft ohne dass die Betroffenen eine verdächtige Datei manuell öffnen müssen.
Die von Amazon beschriebenen Vorfälle im Überblick :
typo-crypto – März 2025: Der vergleichsweise frühe Angriff könnte als Testlauf für die späteren Kampagnen gedient haben. Amazon geht davon aus, dass die Angreifer dabei ihre Vorgehensweise verfeinerten .
debug und chalk – September 2025: Beide Bibliotheken gehören zu den am häufigsten heruntergeladenen npm-Paketen; allein debug kommt auf Milliarden Downloads pro Woche. Die Angreifer sollen den Maintainer über eine ähnlich aussehende npm-Domain getäuscht und anschließend mindestens 18 manipulierte Versionen veröffentlicht haben. Darin steckte unter anderem ein Skript zum Leeren von Krypto-Wallets . Schätzungen zufolge waren innerhalb von zwei Stunden nach der Veröffentlichung rund 10 Prozent der Cloud-Umgebungen betroffen .
axios – März 2026: Die beliebte HTTP-Client-Bibliothek, die JavaScript-Anwendungen den Zugriff auf REST-Schnittstellen erleichtert, verzeichnete damals mehr als 70 Millionen Downloads pro Woche . Die Versionen 1.14.1 und 0.30.4 enthielten eine schädliche Abhängigkeit, die einen Remote-Access-Trojaner nachladen konnte .
Die Angreifer kombinierten Social Engineering – etwa den Aufbau von Beziehungen zu Maintainerinnen und Maintainer sowie den Diebstahl von Zugangsdaten – mit mutmaßlich KI-generiertem Code, der die Erkennung erschweren sollte . Statt die eigentliche Laufzeitlogik der Bibliotheken offensichtlich zu verändern, schleusten sie manipulierte Updates ein. Diese konnten bei der Installation auf den Rechnern von Entwicklern Wallets und Zugangsdaten angreifen .
Microsoft Threat Intelligence ordnete Sapphire Sleet außerdem mit hoher Sicherheit einen separaten Angriff auf die npm-Pakete des KI-Frameworks Mastra zu. Am 17. Juni 2026 wurden innerhalb von 45 Minuten mehr als 140 manipulierte Pakete veröffentlicht .
NullReceiver: Der Malware-Server steckt in der Empfängeradresse
Parallel dazu dokumentierten Sicherheitsforscher von OpenSource Malware eine neue Blockchain-basierte Technik namens NullReceiver. Sie wurde in den trojanisierten npm-Paketen bianira-ui@1.27.0 und fluid-type-ui@2.0.8 gefunden. Beide Pakete geben sich als legitime Tailwind-CSS-Plugins aus und werden mit der Kampagne „Contagious Interview“ in Verbindung gebracht .
Der technische Ablauf :
Die Malware enthält eine fest kodierte Ethereum-Wallet-Adresse: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a.
Zur Laufzeit fragt sie die Blockchain nach der jüngsten ausgehenden Transaktion dieser Wallet ab.
Sie liest die Zieladresse der aktuellsten Ethereum-Überweisung aus – obwohl die Transaktion keinen Ether-Wert und keine Nutzdaten enthält.
Die Bytes dieser Zieladresse werden dekodiert und ergeben die IP-Adresse des nächsten Command-and-Control-Servers (C2-Servers).
Für herkömmliche Überwachung sieht das zunächst wie eine gewöhnliche Krypto-Transaktion aus. Es gibt weder einen auffälligen Dateninhalt noch eine versteckte Domain oder eine statisch im Malware-Code enthaltene IP-Adresse. NullReceiver verlagert das „Geheimnis“ damit aus den Transaktionsdaten in die Empfängeradresse selbst – eine Weiterentwicklung früherer Ansätze wie EtherHiding .
Bei EtherHiding wurde schädlicher Code beziehungsweise eine Infrastrukturinformation in Blockchain-Daten oder Smart Contracts versteckt. NullReceiver geht einen unauffälligeren Weg: Die Malware benötigt lediglich eine bestimmte Angreifer-Wallet und beobachtet deren jüngste Transaktion.
Was Sicherheitsanbieter daraus ableiten
Mehrere große Sicherheitsunternehmen kommen bei den npm-Vorfällen zu einer ähnlichen Einschätzung:
Amazon Threat Intelligence verbindet die vier Paketkompromittierungen anhand gemeinsamer C2-Indikatoren, wiederverwendetem Code, Post-Install-Skripten und weiterer Taktiken mit Sapphire Sleet – allerdings mit mittlerer Sicherheit .
Microsoft Threat Intelligence schreibt der Gruppe mit hoher Sicherheit den Mastra-Angriff zu und ordnete auch den axios-Vorfall Sapphire Sleet zu . Microsoft dokumentierte zudem macOS-Kampagnen, bei denen die Gruppe Köder im Stil von Microsoft Teams nutzte .
Google Threat Intelligence führt den axios-Angriff demselben Akteur zu, den Google als UNC1069 verfolgt .
US-Behörden und verbündete Cybersecurity-Stellen warnen zunehmend vor nordkoreanisch unterstütztem Diebstahl von Kryptowährungen über kompromittierte Open-Source-Software . Laut TRM Labs entfielen 2026 schätzungsweise 76 Prozent des Werts aller Krypto-Hacks auf Nordkorea. Diese Zahl lässt sich jedoch nicht ausschließlich auf die npm-Angriffe zurückführen .
In der vorliegenden Quellenlage findet sich keine ausdrückliche öffentliche Erklärung der nordkoreanischen Regierung, die sich konkret gegen die Vorwürfe zu Sapphire Sleet oder NullReceiver richtet. Eine solche Stellungnahme sollte daher nicht als belegt dargestellt werden.
Was Entwicklerteams jetzt beachten sollten
NullReceiver zeigt, warum klassische Schutzmaßnahmen allein nicht ausreichen: Eine Abwehr, die nur nach verdächtigen Domains, festen IP-Adressen oder auffälligen Blockchain-Nutzdaten sucht, kann diese Technik übersehen.
Sicherheitsverantwortliche und Entwicklerteams sollten deshalb mehrere Schutzschichten kombinieren :
Abhängigkeiten vollständig erfassen: Eine Software Bill of Materials (SBOM) und ein gepflegtes Verzeichnis aller Pakete erleichtern die Suche nach unerwarteten Änderungen.
Neue Versionen nicht sofort installieren: Eine Quarantäne- oder Abkühlphase von 24 bis 72 Stunden kann schnelle Vergiftungsangriffe abfangen, bevor eine manipulierte Version in Builds gelangt .
Lifecycle- und Post-Install-Skripte begrenzen: Wo möglich, sollten Installationsskripte deaktiviert und Pakete reproduzierbar sowie versionsgenau installiert werden.
Automatische Updates kontrollieren: Änderungen an Maintainer-Konten, Paketversionen und Installationsverhalten sollten überwacht werden.
Bei einem Verdacht umfassend reagieren: Ein kompromittiertes Paket ist nicht nur ein Bibliotheksproblem. Betroffene Systeme sollten isoliert, Zugangsdaten und Tokens gegebenenfalls ausgetauscht und mögliche Folgeaktivitäten überwacht werden.
Die zentrale Lehre lautet: Auch ein Paket, das seit Jahren vertrauenswürdig wirkt, bleibt Teil der Angriffsfläche. Und selbst eine scheinbar leere Blockchain-Transaktion kann für Malware eine wichtige Nachricht enthalten.
aws.amazon.comAmazon identifies North Korean hacker group behind open ...
bleepingcomputer.comAmazon links Debug, Chalk NPM supply-chain attacks to ...
labs.cloudsecurityalliance.orgAmazon Links Debug, Chalk, and Axios npm Attacks to Sapphire ...
opensourceforu.comAmazon Traces NPM Supply-Chain Hacks To North Korean Hacker ...