Sapphire Sleet : comment des transactions Ethereum vides dissimulent désormais des malwares npm

La chronologie établie par les chercheurs est la suivante :

• typo-crypto — mars 2025 : cette première compromission, de portée plus limitée, aurait servi de test pour affiner les méthodes utilisées lors des attaques suivantes .
• debug et chalk — septembre 2025 : ces deux bibliothèques figurent parmi les plus téléchargées de l'écosystème npm ; debug enregistre à lui seul plusieurs milliards de téléchargements hebdomadaires. Les attaquants auraient piégé le mainteneur au moyen d'un faux domaine ressemblant à npm, puis publié un script destiné à vider des portefeuilles de cryptomonnaies dans au moins 18 versions malveillantes . Amazon estime que la compromission a atteint environ 10 % des environnements cloud en deux heures .
• axios — mars 2026 : cette bibliothèque très populaire sert notamment à effectuer des requêtes HTTP depuis des applications JavaScript. Au moment de l'attaque, elle dépassait 70 millions de téléchargements hebdomadaires selon Microsoft . Les versions empoisonnées 1.14.1 et 0.30.4 embarquaient une dépendance malveillante capable de télécharger un cheval de Troie d'accès à distance .

La stratégie ne reposait pas sur une faille inédite de npm. Les attaquants ont plutôt ciblé la chaîne de confiance : approche des mainteneurs, vol d'identifiants, hameçonnage et publication de mises à jour depuis des comptes déjà réputés fiables . Du code généré avec l'aide de l'intelligence artificielle aurait également été utilisé pour compliquer la détection .

Les charges malveillantes pouvaient s'exécuter pendant l'installation du paquet, puis voler des identifiants ou des actifs numériques. Dans le cas d'axios, les versions compromises introduisaient une dépendance destinée à récupérer des charges utiles depuis une infrastructure de commande contrôlée par l'attaquant .

NullReceiver : une adresse IP cachée dans une transaction vide

Les 2 et 4 août 2026, OpenSource Malware a documenté une autre technique, baptisée NullReceiver, dans deux paquets npm supplémentaires liés à la Corée du Nord : bianira-ui@1.27.0 et fluid-type-ui@2.0.8 . Ces paquets se font passer pour des extensions légitimes de Tailwind CSS et sont associés à la campagne « Contagious Interview » .

Le principe est simple, mais particulièrement difficile à repérer dans une analyse statique :

1. Le malware contient une adresse de portefeuille Ethereum en dur : 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Lorsqu'il s'exécute, il interroge la blockchain pour connaître la dernière transaction sortante de ce portefeuille.
3. Il recherche la transaction dont la valeur et les données sont nulles.
4. Il lit l'adresse destinataire de cette transaction et en décode les octets pour obtenir l'adresse IP du serveur de commande et de contrôle, ou C2 .

Autrement dit, la blockchain ne transporte pas ici un message suspect ou un domaine caché. Elle sert de tableau d'affichage discret : une transaction sans valeur apparente fournit au malware l'information nécessaire pour contacter l'étape suivante de son infrastructure.

Cette méthode constitue une évolution d'EtherHiding, une technique qui consiste notamment à dissimuler du code ou des données malveillantes dans les informations associées à des transactions ou à des contrats intelligents. Avec NullReceiver, le « secret » n'est plus placé dans les données de la transaction, mais dans l'adresse destinataire elle-même .

Cela réduit l'empreinte visible dans le code : aucun domaine suspect ni serveur IP fixe n'y apparaît directement, et la transaction consultée peut ressembler à une activité ordinaire sur Ethereum. Le mécanisme ne rend cependant pas l'attaque invisible : l'adresse de portefeuille utilisée par le malware constitue un indicateur exploitable, et l'activité sur la blockchain reste publique .

Des attributions qui se recoupent

Amazon n'est pas le seul acteur à faire le lien avec Sapphire Sleet. Microsoft Threat Intelligence a attribué avec un niveau de confiance élevé une attaque menée le 17 juin 2026 contre plus de 140 paquets npm liés à Mastra AI. En l'espace de 45 minutes, les attaquants avaient publié 141 paquets contenant easy-day-js, une imitation malveillante de la bibliothèque dayjs .

Microsoft a également attribué à Sapphire Sleet la compromission d'axios et décrit d'autres campagnes ciblant macOS au moyen de leurres inspirés de Microsoft Teams . Google Threat Intelligence suit pour sa part une activité correspondante sous le nom d'UNC1069 et a également relié l'attaque contre axios au même acteur .

Les autorités américaines et leurs partenaires ont de plus en plus alerté sur les opérations nord-coréennes visant le vol de cryptomonnaies au moyen de compromissions de logiciels open source et de chaînes d'approvisionnement . TRM Labs estime que la Corée du Nord serait à l'origine de 76 % de la valeur totale dérobée lors de piratages de cryptomonnaies en 2026 ; ce chiffre ne provient toutefois pas uniquement des attaques npm décrites ici .

Les éléments disponibles ne font état d'aucune déclaration publique spécifique du gouvernement nord-coréen démentant les accusations liées à Sapphire Sleet ou à NullReceiver. Il convient donc de distinguer l'absence de dénégation identifiée dans ce dossier d'une confirmation de la position officielle de Pyongyang.

Quelles mesures pour les équipes de développement ?

NullReceiver montre pourquoi les contrôles classiques — analyse de chaînes de caractères, blocage de domaines ou recherche d'adresses IP codées en dur — ne suffisent plus toujours. Les équipes peuvent néanmoins réduire leur exposition en combinant plusieurs mesures :

• tenir à jour un inventaire des dépendances et, lorsque c'est possible, un SBOM (Software Bill of Materials, ou nomenclature des composants logiciels) ;
• examiner toute modification inattendue d'un paquet ou de son comportement à l'installation et à l'exécution ;
• instaurer une période de quarantaine de 24 à 72 heures avant d'autoriser une nouvelle version d'une dépendance ;
• désactiver les scripts de cycle de vie, notamment les scripts exécutés automatiquement après l'installation, lorsque l'environnement le permet ;
• verrouiller les versions et installer les dépendances de manière déterministe ;
• traiter toute compromission suspectée comme un incident plus large : isoler les machines concernées, renouveler les secrets et surveiller les mouvements ultérieurs dans l'environnement.

Le point faible n'est donc pas uniquement le registre npm. C'est l'ensemble de la chaîne — mainteneur, compte de publication, poste du développeur, système de compilation et identifiants accessibles — qu'il faut surveiller.