Sapphire Sleet: come le transazioni Ethereum “vuote” nascondono i server del malware npm

Amazon ha valutato l’attribuzione con confidenza media e ha descritto l’attore come motivato soprattutto da obiettivi finanziari . La sequenza degli incidenti è la seguente :

• typo-crypto, marzo 2025: secondo Amazon, la prima compromissione potrebbe essere stata una sorta di prova generale per perfezionare tecniche e procedure prima degli attacchi più estesi .
• debug e chalk, settembre 2025: i criminali hanno preso di mira due librerie npm molto diffuse. Il solo pacchetto debug registra miliardi di download settimanali. Per compromettere l’account del manutentore sarebbe stato utilizzato un dominio npm contraffatto, simile a quello legittimo; in seguito è stato distribuito uno script capace di svuotare i portafogli di criptovalute in almeno 18 versioni malevole . L’impatto avrebbe raggiunto circa il 10% degli ambienti cloud entro due ore dalla pubblicazione .
• axios, marzo 2026: una delle librerie client HTTP più popolari dell’ecosistema JavaScript, con oltre 70 milioni di download settimanali all’epoca dell’attacco . Le versioni avvelenate 1.14.1 e 0.30.4 includevano una dipendenza malevola che installava un trojan per l’accesso remoto .

Il metodo non si basava necessariamente su una vulnerabilità del registro npm. Gli aggressori avrebbero invece combinato ingegneria sociale, rapporti di fiducia con i manutentori e furto delle credenziali, per poi pubblicare aggiornamenti apparentemente legittimi . Il codice, in parte generato o assistito dall’intelligenza artificiale, era progettato per eludere i controlli.

Gli aggiornamenti infetti inserivano script eseguiti durante l’installazione dei pacchetti, con l’obiettivo di sottrarre criptovalute, credenziali e altri segreti presenti sui computer degli sviluppatori .

Microsoft Threat Intelligence ha inoltre attribuito con elevata confidenza allo stesso gruppo un attacco separato contro la supply chain di Mastra AI, avvenuto il 17 giugno 2026. In una finestra di 45 minuti furono pubblicati 141 pacchetti malevoli, oltre 140 dei quali risultarono coinvolti nell’operazione .

NullReceiver: il server del malware è in una transazione senza valore

Tra il 2 e il 4 agosto 2026, gli analisti di OpenSource Malware hanno descritto una tecnica blockchain inedita chiamata NullReceiver. Il meccanismo è stato trovato in due pacchetti npm contraffatti, bianira-ui@1.27.0 e fluid-type-ui@2.0.8, che imitano plugin legittimi per Tailwind CSS e sono collegati alla campagna “Contagious Interview” .

Il funzionamento è relativamente semplice, ma difficile da individuare con i controlli tradizionali :

1. Il malware contiene un indirizzo Ethereum fissato nel codice: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Quando viene eseguito, interroga la blockchain per trovare l’ultima transazione in uscita da quel portafoglio.
3. Cerca l’indirizzo destinatario dell’ultima transazione Ethereum con valore pari a zero e senza dati.
4. Decodifica i byte di quell’indirizzo, che corrispondono all’indirizzo IP del server C2, cioè l’infrastruttura usata per inviare comandi al malware.

In pratica, la richiesta del server di comando può sembrare una normale attività sulla blockchain: un trasferimento da un portafoglio a un altro. Non c’è un dominio sospetto da bloccare, non compare un IP statico nel codice e la transazione non contiene nemmeno un payload nascosto.

NullReceiver rappresenta un’evoluzione di EtherHiding, una tecnica precedente che inseriva codice o informazioni nei dati delle transazioni o negli smart contract. Il nuovo approccio sposta il “segreto” nell’indirizzo del destinatario, rendendo il traffico apparentemente ancora più ordinario .

Cosa dicono i ricercatori internazionali

Le principali società di sicurezza hanno rilevato sovrapposizioni tra infrastrutture, codice, indicatori C2, hook post-installazione e altre tattiche:

• Amazon Threat Intelligence ha attribuito con confidenza media a Sapphire Sleet le compromissioni di typo-crypto, debug, chalk e axios .
• Microsoft Threat Intelligence ha collegato con elevata confidenza a Sapphire Sleet l’attacco contro Mastra AI e ha attribuito allo stesso gruppo anche la compromissione di axios . Microsoft ha inoltre documentato campagne rivolte a macOS, con esche a tema Microsoft Teams .
• Google Threat Intelligence ha attribuito l’attacco ad axios allo stesso attore, che nei propri sistemi viene tracciato come UNC1069 .
• Le agenzie governative statunitensi e quelle dei Paesi alleati hanno intensificato gli avvertimenti sui furti di criptovalute condotti da attori nordcoreani attraverso compromissioni della supply chain del software open source .

Secondo TRM Labs, nel 2026 la Corea del Nord sarebbe stata responsabile del 76% del valore complessivo dei furti legati ad attacchi alle criptovalute. La cifra, tuttavia, non deriva esclusivamente dagli attacchi ai pacchetti npm descritti in questo articolo .

Per quanto emerge dalle fonti disponibili, non è stata trovata una dichiarazione pubblica specifica del governo nordcoreano che neghi le accuse relative a Sapphire Sleet o alla tecnica NullReceiver. Non è quindi possibile attribuire a Pyongyang una smentita diretta di queste campagne sulla base delle evidenze raccolte.

Le misure per sviluppatori e team di sicurezza

NullReceiver mostra perché non bastino il semplice blocco dei domini e l’analisi statica del codice: il malware non deve incorporare direttamente né il dominio né l’indirizzo IP del proprio server.

Le raccomandazioni ricorrenti degli esperti includono :

• mantenere un inventario aggiornato delle dipendenze e una software bill of materials (SBOM), cioè l’elenco dei componenti presenti in un’applicazione;
• controllare gli aggiornamenti inattesi dei pacchetti e limitare, quando possibile, gli aggiornamenti automatici;
• introdurre una finestra di quarantena di 24–72 ore, evitando di installare immediatamente versioni appena pubblicate;
• disabilitare gli script del ciclo di vita dei pacchetti, come quelli eseguiti automaticamente dopo l’installazione, quando non sono indispensabili;
• installare versioni bloccate e riproducibili, invece di dipendere da intervalli di versione troppo ampi;
• considerare ogni compromissione di una dipendenza come un possibile problema più ampio per credenziali e ambiente: isolare i sistemi coinvolti, ruotare segreti e token e monitorare eventuali attività successive.

Il punto centrale è che un pacchetto open source non è solo codice aggiunto a un progetto: durante l’installazione può eseguire script, leggere credenziali e raggiungere la rete. Per questo la fiducia nella libreria deve essere accompagnata da controlli sul comportamento, sulla provenienza e sulla tempistica degli aggiornamenti.