Sapphire Sleet: Wie leere Ethereum-Transaktionen npm-Malware verstecken

Vier npm-Pakete, ein mutmaßlicher Akteur

npm ist die zentrale Paketverwaltung für die JavaScript- und Node.js-Welt. Wird ein beliebtes Paket manipuliert, kann sich Schadcode über Entwicklerrechner, Build-Systeme und Cloud-Umgebungen verbreiten – oft ohne dass die Betroffenen eine verdächtige Datei manuell öffnen müssen.

Die von Amazon beschriebenen Vorfälle im Überblick :

• typo-crypto – März 2025: Der vergleichsweise frühe Angriff könnte als Testlauf für die späteren Kampagnen gedient haben. Amazon geht davon aus, dass die Angreifer dabei ihre Vorgehensweise verfeinerten .
• debug und chalk – September 2025: Beide Bibliotheken gehören zu den am häufigsten heruntergeladenen npm-Paketen; allein debug kommt auf Milliarden Downloads pro Woche. Die Angreifer sollen den Maintainer über eine ähnlich aussehende npm-Domain getäuscht und anschließend mindestens 18 manipulierte Versionen veröffentlicht haben. Darin steckte unter anderem ein Skript zum Leeren von Krypto-Wallets . Schätzungen zufolge waren innerhalb von zwei Stunden nach der Veröffentlichung rund 10 Prozent der Cloud-Umgebungen betroffen .
• axios – März 2026: Die beliebte HTTP-Client-Bibliothek, die JavaScript-Anwendungen den Zugriff auf REST-Schnittstellen erleichtert, verzeichnete damals mehr als 70 Millionen Downloads pro Woche . Die Versionen 1.14.1 und 0.30.4 enthielten eine schädliche Abhängigkeit, die einen Remote-Access-Trojaner nachladen konnte .

Die Angreifer kombinierten Social Engineering – etwa den Aufbau von Beziehungen zu Maintainerinnen und Maintainer sowie den Diebstahl von Zugangsdaten – mit mutmaßlich KI-generiertem Code, der die Erkennung erschweren sollte . Statt die eigentliche Laufzeitlogik der Bibliotheken offensichtlich zu verändern, schleusten sie manipulierte Updates ein. Diese konnten bei der Installation auf den Rechnern von Entwicklern Wallets und Zugangsdaten angreifen .

Microsoft Threat Intelligence ordnete Sapphire Sleet außerdem mit hoher Sicherheit einen separaten Angriff auf die npm-Pakete des KI-Frameworks Mastra zu. Am 17. Juni 2026 wurden innerhalb von 45 Minuten mehr als 140 manipulierte Pakete veröffentlicht .

NullReceiver: Der Malware-Server steckt in der Empfängeradresse

Parallel dazu dokumentierten Sicherheitsforscher von OpenSource Malware eine neue Blockchain-basierte Technik namens NullReceiver. Sie wurde in den trojanisierten npm-Paketen bianira-ui@1.27.0 und fluid-type-ui@2.0.8 gefunden. Beide Pakete geben sich als legitime Tailwind-CSS-Plugins aus und werden mit der Kampagne „Contagious Interview“ in Verbindung gebracht .

Der technische Ablauf :

1. Die Malware enthält eine fest kodierte Ethereum-Wallet-Adresse: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Zur Laufzeit fragt sie die Blockchain nach der jüngsten ausgehenden Transaktion dieser Wallet ab.
3. Sie liest die Zieladresse der aktuellsten Ethereum-Überweisung aus – obwohl die Transaktion keinen Ether-Wert und keine Nutzdaten enthält.
4. Die Bytes dieser Zieladresse werden dekodiert und ergeben die IP-Adresse des nächsten Command-and-Control-Servers (C2-Servers).

Für herkömmliche Überwachung sieht das zunächst wie eine gewöhnliche Krypto-Transaktion aus. Es gibt weder einen auffälligen Dateninhalt noch eine versteckte Domain oder eine statisch im Malware-Code enthaltene IP-Adresse. NullReceiver verlagert das „Geheimnis“ damit aus den Transaktionsdaten in die Empfängeradresse selbst – eine Weiterentwicklung früherer Ansätze wie EtherHiding .

Bei EtherHiding wurde schädlicher Code beziehungsweise eine Infrastrukturinformation in Blockchain-Daten oder Smart Contracts versteckt. NullReceiver geht einen unauffälligeren Weg: Die Malware benötigt lediglich eine bestimmte Angreifer-Wallet und beobachtet deren jüngste Transaktion.

Was Sicherheitsanbieter daraus ableiten

Mehrere große Sicherheitsunternehmen kommen bei den npm-Vorfällen zu einer ähnlichen Einschätzung:

• Amazon Threat Intelligence verbindet die vier Paketkompromittierungen anhand gemeinsamer C2-Indikatoren, wiederverwendetem Code, Post-Install-Skripten und weiterer Taktiken mit Sapphire Sleet – allerdings mit mittlerer Sicherheit .
• Microsoft Threat Intelligence schreibt der Gruppe mit hoher Sicherheit den Mastra-Angriff zu und ordnete auch den axios-Vorfall Sapphire Sleet zu . Microsoft dokumentierte zudem macOS-Kampagnen, bei denen die Gruppe Köder im Stil von Microsoft Teams nutzte .
• Google Threat Intelligence führt den axios-Angriff demselben Akteur zu, den Google als UNC1069 verfolgt .
• US-Behörden und verbündete Cybersecurity-Stellen warnen zunehmend vor nordkoreanisch unterstütztem Diebstahl von Kryptowährungen über kompromittierte Open-Source-Software . Laut TRM Labs entfielen 2026 schätzungsweise 76 Prozent des Werts aller Krypto-Hacks auf Nordkorea. Diese Zahl lässt sich jedoch nicht ausschließlich auf die npm-Angriffe zurückführen .

In der vorliegenden Quellenlage findet sich keine ausdrückliche öffentliche Erklärung der nordkoreanischen Regierung, die sich konkret gegen die Vorwürfe zu Sapphire Sleet oder NullReceiver richtet. Eine solche Stellungnahme sollte daher nicht als belegt dargestellt werden.

Was Entwicklerteams jetzt beachten sollten

NullReceiver zeigt, warum klassische Schutzmaßnahmen allein nicht ausreichen: Eine Abwehr, die nur nach verdächtigen Domains, festen IP-Adressen oder auffälligen Blockchain-Nutzdaten sucht, kann diese Technik übersehen.

Sicherheitsverantwortliche und Entwicklerteams sollten deshalb mehrere Schutzschichten kombinieren :

• Abhängigkeiten vollständig erfassen: Eine Software Bill of Materials (SBOM) und ein gepflegtes Verzeichnis aller Pakete erleichtern die Suche nach unerwarteten Änderungen.
• Neue Versionen nicht sofort installieren: Eine Quarantäne- oder Abkühlphase von 24 bis 72 Stunden kann schnelle Vergiftungsangriffe abfangen, bevor eine manipulierte Version in Builds gelangt .
• Lifecycle- und Post-Install-Skripte begrenzen: Wo möglich, sollten Installationsskripte deaktiviert und Pakete reproduzierbar sowie versionsgenau installiert werden.
• Automatische Updates kontrollieren: Änderungen an Maintainer-Konten, Paketversionen und Installationsverhalten sollten überwacht werden.
• Bei einem Verdacht umfassend reagieren: Ein kompromittiertes Paket ist nicht nur ein Bibliotheksproblem. Betroffene Systeme sollten isoliert, Zugangsdaten und Tokens gegebenenfalls ausgetauscht und mögliche Folgeaktivitäten überwacht werden.

Die zentrale Lehre lautet: Auch ein Paket, das seit Jahren vertrauenswürdig wirkt, bleibt Teil der Angriffsfläche. Und selbst eine scheinbar leere Blockchain-Transaktion kann für Malware eine wichtige Nachricht enthalten.