北朝鮮ハッカーグループ「Sapphire Sleet」によるnpmサプライチェーン攻撃の全容

侵害された4つのパッケージは時系列順に以下の通りです ：

• typo-crypto（2025年3月）：大規模なキャンペーンのためのテストランだった可能性が高い。Amazonはこの初期の侵害が、本格的な攻撃の前の手口の洗練に使われたと評価しています 。
• debug と chalk（2025年9月）：最もダウンロードされているnpmライブラリの2つで、debug単体で週間ダウンロード数は数十億に上ります。攻撃者は、類似したnpmドメインを使ってメンテナーをフィッシングし、少なくとも18の悪意あるバージョンにウォレット情報を抜き取るスクリプトを仕込みました 。この侵害は、公開からわずか2時間でクラウド環境の約10%に達したと推定されています 。
• axios（2026年3月）：JavaScriptエコシステムで最も人気のあるHTTPクライアントライブラリの1つで、当時の週間ダウンロード数は7000万以上 。2つの悪意あるリリース（v1.14.1 と v0.30.4）が、リモートアクセス型トロイの木馬（RAT）を展開する悪意ある依存関係を導入しました 。

攻撃者は、ソーシャルエンジニアリング（メンテナーと友好関係を築き、認証情報を盗む）と、検知を回避するために設計されたAI生成コードを組み合わせました 。パッケージの実行時動作を直接変更する代わりに、インストール時に開発者のマシン上でウォレット情報窃取スクリプトや認証情報窃取ツールを展開する、トロイの木馬化されたアップデートを注入しました 。

Microsoft Threat Intelligenceも、2026年6月17日に発生した、わずか45分間で140以上のパッケージを攻撃した「Mastra AI」へのnpmサプライチェーン攻撃を、同じSapphire Sleetグループの仕業と独自に特定し、「高い確信（high confidence）」で評価しています 。

NullReceiver手法：イーサリアム取引にC2サーバーを隠す

2026年8月2日から4日にかけて報告された研究で、OpenSource Malwareのセキュリティアナリストは、新たなブロックチェーンベースのコマンド＆コントロール（C2）技術「NullReceiver」を発明しました。これは、さらに2つの北朝鮮関連のトロイの木化されたnpmパッケージ、bianira-ui@1.27.0 と fluid-type-ui@2.0.8 の中で見つかりました 。これらのパッケージは、正規のTailwind CSSプラグインを偽装しており、進行中の「Contagious Interview」キャンペーンに関連しています 。

NullReceiverの仕組み ：

従来の手口（EtherHidingなど）のようにC2サーバーのアドレスを直接コードにハードコードしたり、ブロックチェーンのトランザクションデータフィールドに隠したりする代わりに、NullReceiverはより巧妙なアプローチを取ります：

1. マルウェアには、ハードコードされたイーサリアムウォレットアドレス（0xa322e5f3d311d3080e6f0121063e9adc2490ef1a）が含まれています 。
2. 実行時に、そのウォレットの最新の送金トランザクションをイーサリアムブロックチェーンに問い合わせます。
3. そのウォレットから行われた最新のゼロ値・ゼロデータのイーサリアム送金の送信先アドレスを読み取ります。
4. その送信先アドレスのバイト列をデコードすると、次の段階のC2サーバーのIPアドレスが現れます。

この手法により、C2の検索はごく普通のブロックチェーン上の活動（誰かが他のウォレットに送金した）のように見えます。不審なデータペイロードも、隠されたドメインも、マルウェアコード内の静的なIPもありません。OpenSource Malwareが指摘するように、NullReceiverは、トランザクションのデータ部ではなく受信者アドレス自体に「秘密」を移すことで、EtherHidingの検出問題を解決した、意図的な進化形です 。

国際的な対応と攻撃元の特定

複数の大手セキュリティベンダーが同一の攻撃者という結論で一致しています：

• Amazon Threat Intelligence：共通のC2指標、コードの再利用、インストール後のフックなどの戦術に基づき、Sapphire Sleetが4つのパッケージ侵害の背後にいると中程度の確信で評価 。
• Microsoft Threat Intelligence：Sapphire SleetがMastra AI攻撃の背後にいると高い確信で独自に評価 。また、axios侵害についても同グループによるものとし、Teamsを装ったmacOS向けのキャンペーンも文書化 。
• Google Threat Intelligence：axios攻撃を同アクター（UNC1069として追跡）の仕業と特定 。
• 米国政府および同盟国のサイバーセキュリティ機関：オープンソースソフトウェアのサプライチェーン侵害を通じた北朝鮮の国家支援による暗号資産窃盗について警告を強化 （TRM Labsによると、2026年に北朝鮮は暗号ハッキング被害総額の76%を占めたと推定されるが、この数字はこれらのnpm攻撃のみによるものではない）。

入手可能な情報源に基づくと、北朝鮮政府がSapphire SleetやNullReceiverの疑惑を特に否定する公式声明は確認されていません。北朝鮮は通常、標準的な外交ルートを通じて国家支援のサイバー攻撃疑惑を否定していますが、今回の具体的なキャンペーンに対する直接的な否定は、今回の証拠セットでは表面化していません。

開発者とセキュリティチームへの影響

現在、数十の悪意あるパッケージが、ソーシャルエンジニアリング、AI生成コード、ブロックチェーンC2技術を使用しています。従来の静的解析やドメインブロックでは、マルウェアコード自体に不審なドメインやIPが現れないNullReceiverを捕捉できません。複数の情報源からのセキュリティ推奨事項は以下の通りです ：

• ソフトウェア部品表（SBOM）を維持し、依存関係の予期せぬ変更を監視する。
• 検疫ウィンドウを導入する（過去24～72時間以内に公開されたパッケージのインストールを拒否する）。これにより、急速に広がる毒入れ攻撃を阻止できる。
• ライフサイクルスクリプトを無効にし、可能な限りパッケージバージョンを決定論的にインストールする。
• 依存関係の侵害が疑われたら、より広範な認証情報と環境リスクとして扱う。シークレットをローテーションし、影響を受けたシステムを隔離し、後続の活動を監視する。