ChainDrop y NullReceiver: Hackers norcoreanos atacan npm usando Ethereum como arma

• Los paquetes maliciosos contienen una dirección de billetera Ethereum hardcodeada (por ejemplo, 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7) .
• En tiempo de ejecución, el malware consulta la cadena de bloques de Ethereum para obtener las últimas transacciones entrantes a esa billetera .
• Lee el campo de dirección de destino de transacciones de valor cero, donde los atacantes han codificado la dirección IP o el dominio del servidor C2 activo .
• Como la dirección C2 se almacena en la cadena en una transferencia de criptomonedas de aspecto común, se mezcla con el tráfico normal de la cadena de bloques y evade la detección tradicional basada en red .

Este enfoque permite a los atacantes rotar la infraestructura C2 dinámicamente sin actualizar el malware — simplemente emiten una nueva transacción de Ethereum de valor cero con una nueva dirección codificada .

Uso más amplio de Ethereum como C2

Antes de NullReceiver, ya se habían observado paquetes npm vinculados a Corea del Norte utilizando contratos inteligentes de Ethereum como capa C2 oculta para distribuir malware . La progresión muestra una estrategia deliberada: la inmutabilidad, disponibilidad global y legitimidad estructural de la cadena de bloques la convierten en un canal C2 ideal y resistente que los defensores no pueden eliminar fácilmente.

El gusano ChainDrop: autopropagación a gran escala

El 4 de agosto de 2026, Microsoft Threat Intelligence reveló ChainDrop, un gusano npm autopropagante que sigue siendo el ataque más agresivo vinculado a Corea del Norte contra la cadena de suministro de software hasta la fecha .

• Escala: En aproximadamente dos horas, ChainDrop envenenó 435 paquetes y 1,557 versiones, comenzando con el compromiso del paquete keyv@6.0.0 .
• Mecanismo: El gusano usaba scripts preinstall para ejecutar cargas útiles ofuscadas (por ejemplo, setup.mjs, math_init.js) que descargaban un módulo de robo de credenciales llamado Mini Shai-Hulud .
• Autopropagación: Una vez ejecutado en el entorno CI/CD de una víctima, el gusano robaba las credenciales de publicación de npm y republicaba automáticamente actualizaciones maliciosas a otros paquetes propiedad del mismo desarrollador u organización — creando una cadena de infección en cascada .
• Alcance del impacto: Los paquetes afectados incluían utilidades ampliamente utilizadas como keyv, flat-cache y cache-manager, llegando a grandes ecosistemas empresariales aguas abajo .

Advertencia importante: Si bien el momento y las TTP (dirigirse a npm, robo de credenciales, motivación por criptomonedas) son altamente consistentes con la actividad de Corea del Norte, ChainDrop aún no ha sido formalmente atribuido a un subgrupo específico de Corea del Norte de la misma manera que NullReceiver. El análisis de Microsoft se centra en la anatomía técnica del gusano; la atribución aún está emergiendo.

Lo que estas campañas revelan sobre la evolución de los ataques norcoreanos a la cadena de suministro

1. De paquetes estáticos a gusanos autopropagantes

Las campañas npm anteriores de Corea del Norte — como el secuestro de septiembre de 2025 de debug, chalk y axios — se basaban en phishing a mantenedores y la inserción de código de drenaje de billeteras en paquetes estáticos . ChainDrop representa un cambio de nivel: combina el robo de credenciales con la republicación automatizada, convirtiendo un solo compromiso en una cadena de infección de crecimiento exponencial que no requiere ingeniería social adicional .

2. La cadena de bloques como capa de sigilo y resistencia

NullReceiver y sus predecesores muestran a los actores norcoreanos pasando de C2 hardcodeado o de flujo rápido a C2 resuelto mediante cadena de bloques. La red Ethereum se convierte en un tablón de anuncios global, resistente a la censura y públicamente verificable que los atacantes controlan financieramente (a través de su billetera) en lugar de infraestructuralmente (a través de dominios o IPs). Esto hace que la eliminación sea casi imposible sin incautar la propia billetera .

3. Ingeniería social + asistencia de IA

Amazon Threat Intelligence vinculó los compromisos de debug, chalk, axios y typo-crypto con el grupo Sapphire Sleet (también conocido como BlueNoroff, Stardust Chollima y CageyChameleon), señalando el uso de generación de malware asistida por IA e ingeniería social dirigida a mantenedores de código abierto . La campaña PromptMink (Famous Chollima/Shifty Corsair) demostró además paquetes npm maliciosos generados por IA mantenidos durante siete meses en más de 300 versiones .

4. Derrame entre ecosistemas

La campaña Shai-Hulud (desde septiembre de 2025) evolucionó de un gusano npm a una amenaza entre ecosistemas dirigida a PyPI y otros registros, demostrando que los actores norcoreanos invierten en persistencia multiplataforma .

5. Motivación financiera como motor principal

Todas estas campañas comparten un objetivo común: el robo de criptomonedas. Ya sea robando credenciales para vaciar billeteras de desarrollo, secuestrando pipelines CI/CD para inyectar código de robo de criptomonedas, o usando blockchain C2 para mantener acceso persistente — el objetivo final sigue siendo desviar activos digitales para financiar el régimen norcoreano .

Conclusiones clave

Los actores de amenazas norcoreanos han pasado de la suplantación oportunista de paquetes a una capacidad madura de guerra de cadena de suministro multivector — utilizando la cadena de bloques de Ethereum para C2 indetectable, gusanos autorreplicantes para propagación viral e IA para generación de malware a velocidad de producción. Las campañas NullReceiver y ChainDrop, ambas reveladas con días de diferencia a principios de agosto de 2026, sugieren que el ritmo operativo y la ambición técnica se están acelerando.