北朝鮮ハッカーがEthereumを武器にnpm生態系を攻撃：自己増殖ワーム「ChainDrop」と「NullReceiver」で見えた標的型攻撃の進化

• 悪意のあるパッケージには、ハードコードされたEthereumウォレットアドレス（例：0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7）が含まれている。
• 実行時に、マルウェアはそのウォレットへの最新の受信トランザクションをEthereumブロックチェーンに問い合わせる。
• 攻撃者は、送金先アドレスフィールドに、実際のC2サーバーのIPアドレスやドメインをエンコードして、価値のない（ゼロ値の）トランザクションを送信する。
• C2アドレスがごく普通の暗号資産送金の中にオンチェーンで保存されるため、通常のブロックチェーントラフィックに紛れ、従来のネットワークベースの検知を回避できる。

この手法により、攻撃者はマルウェア自体を更新することなく、動的にC2インフラを変更できる。新しいエンコードされたアドレスでゼロ値のEthereumトランザクションを発行するだけでよい。

より広範なEthereum活用C2手口

NullReceiver以前にも、北朝鮮関連のnpmパッケージがEthereumスマートコントラクトを隠れたC2層として悪用し、マルウェアを配信していた事例が確認されている。ブロックチェーンの不変性、グローバルな可用性、構造的な正当性は、防御側が容易に停止できない、強固なC2チャネルとして理想的であることを示している。

自己増殖ワーム「ChainDrop」：前例のない規模の拡散

2026年8月4日、Microsoft Threat Intelligenceは、これまでで最も攻撃的な北朝鮮関連のソフトウェアサプライチェーン攻撃である自己増殖型npmワーム「ChainDrop」を公開した。

• 規模： わずか約2時間で、keyv@6.0.0 パッケージの侵害を起点に、435のパッケージと1,557のバージョンを汚染した。
• メカニズム： このワームは preinstall スクリプトを使用して、難読化されたペイロード（setup.mjs、math_init.js など）を実行し、Mini Shai-Hulud と呼ばれる認証情報収集モジュールをダウンロードした。
• 自己増殖： 被害者のCI/CD環境で実行されると、ワームはnpmの公開（publish）認証情報を盗み、同じ開発者または組織が所有する他のパッケージに不正なアップデートを自動的に再公開し、連鎖的な感染を引き起こした。
• 影響範囲： 影響を受けたパッケージには、keyv、flat-cache、cache-manager などの広く使われているユーティリティが含まれ、主要なエンタープライズエコシステムに波及した。

重要な注意点： タイミングやTTP（npmを標的とする、認証情報の窃取、暗号通貨を動機とする点など）は北朝鮮の活動と非常に一致しているが、ChainDropはNullReceiverと同じように特定の北朝鮮サブグループに正式に帰属されているわけではない。Microsoftの分析はワームの技術的な詳細に焦点を当てており、帰属はまだ進行中である。

これらのキャンペーンが示す北朝鮮のサプライチェーン攻撃の進化

1. 静的パッケージから自己増殖型ワームへ

過去の北朝鮮のnpmキャンペーン（2025年9月の debug、chalk、axios のハイジャックなど）は、メンテナーをフィッシングし、静的パッケージにウォレットを空にするコードを仕込むものだった。ChainDropは、認証情報の窃取と自動再公開を組み合わせ、単一の侵害を追加のソーシャルエンジニアリングなしで指数関数的に成長する感染連鎖に変えた点で、画期的な変化を示している。

2. ステルス性と復元力の層としてのブロックチェーン

NullReceiverとその先駆けは、北朝鮮の攻撃者がハードコードやFast-Flux型のC2から、ブロックチェーン解決型C2へ移行していることを示している。Ethereumネットワークは、グローバルで検閲耐性があり、公開検証可能な掲示板となる。攻撃者はインフラ（ドメインやIP）ではなく、経済的（ウォレット）にこれを制御するため、ウォレット自体を押収しない限り、C2の停止はほぼ不可能となる。

3. ソーシャルエンジニアリングとAIの活用

Amazon Threat Intelligenceは、debug、chalk、axios、typo-crypto の侵害を北朝鮮関連グループ Sapphire Sleet（BlueNoroff、Stardust Chollima、CageyChameleonとしても知られる）の仕業と関連付け、AI支援によるマルウェア生成と、オープンソースメンテナーへの標的型ソーシャルエンジニアリングの使用を指摘した。PromptMinkキャンペーン（Famous Chollima/Shifty Corsair）では、300以上のバージョンにわたって7か月以上持続したAI生成の悪意あるnpmパッケージがさらに確認されている。

4. エコシステム横断的な波及

Shai-Hulud キャンペーン（2025年9月以降）は、npmワームからPyPIなど他のレジストリも標的にするクロスエコシステムの脅威へと進化し、北朝鮮の攻撃者がマルチプラットフォームでの持続性に投資していることを示している。

5. 主要な動機としての金銭的利益

これらのキャンペーンはすべて、暗号通貨の窃取という共通の目標を持っている。開発用ウォレットを空にするための認証情報の窃取、暗号窃取コードを注入するためのCI/CDパイプラインのハイジャック、持続的なアクセスを維持するためのブロックチェーンC2の使用など、最終的な目的は北朝鮮政権の資金となるデジタル資産の収奪である。

主要な要点

北朝鮮の脅威アクターは、日和見的なパッケージ名の悪用から、成熟した多面的なサプライチェーン戦争能力へと移行している。Ethereumブロックチェーンを検知不能なC2、自己複製ワームをウイルス的な拡散、AIを実戦レベルのマルウェア生成に利用している。NullReceiverとChainDropの両キャンペーンが2026年8月初旬に相次いで明らかになったことは、その作戦テンポと技術的野心が加速していることを示唆している。