Sapphire Sleet का npm हमला: खाली Ethereum ट्रांजैक्शन में छिपे हैं मालवेयर सर्वर

घटनाओं का क्रम इस प्रकार है :

• typo-crypto — मार्च 2025: Amazon के आकलन के अनुसार, यह अपेक्षाकृत छोटा हमला बड़े अभियान से पहले रणनीति और तकनीक परखने के लिए किया गया शुरुआती चरण हो सकता है .
• debug और chalk — सितंबर 2025: ये दोनों npm पारिस्थितिकी तंत्र की सबसे अधिक इस्तेमाल होने वाली लाइब्रेरी में शामिल हैं। अकेले debug के साप्ताहिक डाउनलोड अरबों में हैं। हमलावरों ने एक मिलती-जुलती नकली npm वेबसाइट के जरिए पैकेज मेंटेनर को फंसाया और उसके बाद कम-से-कम 18 संक्रमित संस्करणों में क्रिप्टो वॉलेट खाली करने वाली स्क्रिप्ट पहुंचाई . प्रकाशन के दो घंटे के भीतर यह समझौता अनुमानतः 10% क्लाउड वातावरणों तक पहुंच गया .
• axios — मार्च 2026: JavaScript जगत की लोकप्रिय HTTP क्लाइंट लाइब्रेरी axios के उस समय 7 करोड़ से अधिक साप्ताहिक डाउनलोड थे . इसके दो संक्रमित रिलीज—v1.14.1 और v0.30.4—में ऐसा दुष्ट dependency जोड़ा गया, जिसने रिमोट एक्सेस ट्रोजन तैनात किया .

हमले में सोशल इंजीनियरिंग, मेंटेनर से विश्वास कायम करना और क्रेडेंशियल चुराना शामिल था। शोधकर्ताओं के अनुसार, हमलावरों ने पहचान से बचने के लिए AI से तैयार कोड का भी इस्तेमाल किया . पैकेज के सामान्य रनटाइम व्यवहार को सीधे बदलने के बजाय, उन्होंने ऐसे संक्रमित अपडेट प्रकाशित किए जो इंस्टॉलेशन के दौरान डेवलपर के सिस्टम पर वॉलेट-ड्रेनर और क्रेडेंशियल चुराने वाले घटक तैनात कर सकते थे .

Mastra AI हमला भी इसी समूह से जोड़ा गया

Microsoft Threat Intelligence ने 17 जून 2026 को हुए अलग Mastra AI npm सप्लाई-चेन हमले को भी Sapphire Sleet से जोड़ा। इस हमले में 45 मिनट के भीतर 140 से अधिक पैकेज प्रभावित हुए और Microsoft ने इस पहचान को उच्च भरोसे के साथ आंका .

NullReceiver: खाली Ethereum ट्रांजैक्शन में छिपा C2 सर्वर

2 से 4 अगस्त 2026 के बीच प्रकाशित शोध में OpenSource Malware के विश्लेषकों ने NullReceiver नाम की ब्लॉकचेन-आधारित कमांड-एंड-कंट्रोल तकनीक दर्ज की . यह तकनीक दो अतिरिक्त DPRK-संबद्ध संक्रमित npm पैकेजों—bianira-ui@1.27.0 और fluid-type-ui@2.0.8—में मिली। दोनों पैकेज वास्तविक Tailwind CSS प्लगइन्स की नकल करते हैं और Contagious Interview अभियान से जुड़े बताए गए हैं .

C2 यानी कमांड-एंड-कंट्रोल वह ढांचा है जिसके जरिए हमलावर संक्रमित सिस्टम को निर्देश भेजते हैं। NullReceiver में यह पता सीधे मालवेयर कोड में लिखने के बजाय Ethereum ब्लॉकचेन से निकाला जाता है :

1. मालवेयर में एक Ethereum वॉलेट पता स्थायी रूप से मौजूद रहता है: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. चलने के समय मालवेयर ब्लॉकचेन पर उस वॉलेट का सबसे हालिया outbound transaction खोजता है।
3. वह ऐसे नवीनतम Ethereum ट्रांसफर का destination address पढ़ता है, जिसमें राशि शून्य और डेटा भी शून्य होता है।
4. उस destination address के bytes को decode करने पर अगले चरण के C2 सर्वर का IP पता मिलता है।

यह तरीका सामान्य ब्लॉकचेन गतिविधि जैसा दिख सकता है—जैसे किसी वॉलेट से दूसरे पते पर ट्रांसफर हुआ हो। इसमें न तो संदिग्ध data payload होता है, न छिपा हुआ domain और न ही मालवेयर कोड में स्थायी IP पता।

पहले इस्तेमाल की गई EtherHiding तकनीक में ब्लॉकचेन के transaction calldata या smart contract में डेटा छिपाया जाता था। NullReceiver में “राज” transaction के डेटा में नहीं, बल्कि प्राप्तकर्ता पते के bytes में रखा जाता है . इसी बदलाव से शोधकर्ताओं के अनुसार यह तरीका पुराने संकेतों से बचने की कोशिश करता है।

सुरक्षा कंपनियों और एजेंसियों का आकलन

कई प्रमुख सुरक्षा संगठनों के निष्कर्ष एक-दूसरे से मेल खाते हैं:

• Amazon Threat Intelligence: साझा C2 संकेतकों, कोड के दोबारा इस्तेमाल, post-install hooks और समान तकनीकों के आधार पर चार npm समझौतों को Sapphire Sleet से जोड़ा; भरोसे का स्तर मध्यम रहा .
• Microsoft Threat Intelligence: Mastra AI हमले और axios समझौते को Sapphire Sleet से जोड़ा। Microsoft ने इसी समूह की macOS-केंद्रित गतिविधियों का भी दस्तावेजीकरण किया, जिनमें Teams जैसे दिखने वाले फर्जी प्रलोभन इस्तेमाल हुए .
• Google Threat Intelligence: axios हमले को उसी गतिविधि से जोड़ा और इस समूह को UNC1069 नाम से ट्रैक किया .
• अमेरिकी सरकार और सहयोगी साइबर सुरक्षा एजेंसियां: इन संस्थाओं ने ओपन-सोर्स सॉफ्टवेयर सप्लाई-चेन समझौतों के जरिए उत्तर कोरिया से जुड़े क्रिप्टोकरेंसी चोरी अभियानों को लेकर चेतावनी दी है . TRM Labs के अनुसार, 2026 में हुए कुल क्रिप्टो हैक के अनुमानित मूल्य का 76% उत्तर कोरिया से जुड़ी चोरी में गया; हालांकि यह आंकड़ा केवल इन npm हमलों से संबंधित नहीं है .

उपलब्ध स्रोतों में Sapphire Sleet या NullReceiver के इन खास आरोपों पर उत्तर कोरियाई सरकार का कोई स्पष्ट, प्रत्यक्ष सार्वजनिक खंडन नहीं मिला। इसलिए इस साक्ष्य-समूह के आधार पर किसी विशिष्ट सरकारी denial का दावा करना उचित नहीं होगा।

डेवलपर और सुरक्षा टीम क्या कर सकती हैं?

NullReceiver जैसी तकनीक यह दिखाती है कि केवल static code analysis या संदिग्ध domains को ब्लॉक करना पर्याप्त नहीं है। मालवेयर में न domain दिख सकता है, न स्थायी IP, जबकि वह रनटाइम पर ब्लॉकचेन से अगला सर्वर खोज सकता है। सुरक्षा विशेषज्ञों की सिफारिशों में ये कदम शामिल हैं :

• सभी dependencies की सूची और software bill of materials (SBOM) बनाए रखें।
• पैकेज मेंटेनर, रिलीज समय और कोड में हुए असामान्य बदलावों की निगरानी करें।
• जहां संभव हो, नए प्रकाशित संस्करणों के लिए 24 से 72 घंटे की quarantine window रखें, ताकि तुरंत वापस लिए जा सकने वाले संक्रमित अपडेट स्वतः बिल्ड में न पहुंचें।
• lifecycle scripts को जरूरत न होने पर बंद करें और पैकेज संस्करणों को lockfile के जरिए deterministic तरीके से इंस्टॉल करें।
• किसी dependency के संक्रमित होने का संदेह हो तो इसे केवल पैकेज की समस्या न मानें। प्रभावित सिस्टम अलग करें, secrets और credentials बदलें तथा आगे की संदिग्ध गतिविधि पर नजर रखें।

सबसे बड़ा सबक यह है कि भरोसा अब केवल पैकेज के नाम या डाउनलोड संख्या से तय नहीं किया जा सकता। डेवलपर मशीन, build pipeline और cloud environment—तीनों को एक साथ सुरक्षित करना होगा।