Serangan Sapphire Sleet: Transaksi Ethereum Kosong Dijadikan Saluran Malware npm

Amazon menilai kaitan tersebut dengan tahap keyakinan sederhana dan menyifatkan kumpulan itu sebagai pelaku yang bermotifkan kewangan . Kronologi pakej yang terjejas adalah seperti berikut :

• typo-crypto — Mac 2025: Amazon percaya kompromi awal ini mungkin menjadi percubaan untuk menguji kaedah yang kemudiannya digunakan dalam serangan lebih besar .
• debug dan chalk — September 2025: Kedua-duanya ialah pustaka npm yang sangat popular; debug sahaja mempunyai berbilion muat turun setiap minggu. Penyerang dipercayai memperdaya penyelenggara melalui domain npm yang menyerupai laman sebenar sebelum menerbitkan skrip yang boleh mengosongkan dompet kripto dalam sekurang-kurangnya 18 versi pakej berbahaya . Kompromi itu dianggarkan mencapai sekitar 10% persekitaran awan dalam tempoh dua jam selepas diterbitkan .
• axios — Mac 2026: Pustaka klien HTTP yang popular dalam ekosistem JavaScript ini mencatat lebih 70 juta muat turun mingguan pada ketika itu . Dua keluaran tercemar, iaitu v1.14.1 dan v0.30.4, memasukkan kebergantungan berbahaya yang memasang trojan akses jauh .

Menurut laporan, serangan tersebut menggabungkan kejuruteraan sosial—termasuk membina hubungan dengan penyelenggara dan mencuri kelayakan log masuk—dengan kod yang dijana AI untuk mengelakkan pengesanan .

Bukannya mengubah tingkah laku pakej secara terang-terangan, penyerang menerbitkan kemas kini yang telah ditrojan. Apabila pakej dipasang, kemas kini itu boleh menjalankan skrip untuk mengosongkan dompet kripto dan mencuri kelayakan daripada komputer pembangun .

Microsoft Threat Intelligence turut mengaitkan serangan rantaian bekalan Mastra AI pada 17 Jun 2026 dengan Sapphire Sleet, dengan tahap keyakinan tinggi. Serangan selama 45 minit itu melibatkan lebih 140 pakej npm .

NullReceiver: bagaimana transaksi Ethereum kosong menyembunyikan pelayan malware

Dalam penyelidikan yang dilaporkan pada 2 hingga 4 Ogos 2026, OpenSource Malware mendokumentasikan teknik arahan dan kawalan berasaskan blockchain yang baharu, dikenali sebagai NullReceiver .

Teknik ini ditemui dalam dua pakej npm yang telah ditrojan dan dikaitkan dengan Korea Utara: bianira-ui@1.27.0 dan fluid-type-ui@2.0.8. Kedua-duanya menyamar sebagai pemalam Tailwind CSS yang sah dan dikaitkan dengan kempen Contagious Interview .

Cara NullReceiver berfungsi adalah seperti berikut :

1. Malware membawa alamat dompet Ethereum yang ditetapkan dalam kod: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Apabila berjalan, malware menyemak blockchain Ethereum untuk mendapatkan transaksi keluar terbaharu daripada dompet tersebut.
3. Ia membaca alamat destinasi bagi transaksi Ethereum terkini yang mempunyai nilai sifar dan tiada data.
4. Apabila bait alamat destinasi itu dinyahkod, ia menghasilkan alamat IP pelayan arahan dan kawalan untuk peringkat seterusnya.

Bagi pemantau biasa, aktiviti itu kelihatan seperti pemindahan kripto biasa—satu dompet menghantar transaksi kepada dompet lain. Tiada muatan data yang mencurigakan, domain berbahaya atau alamat IP statik yang perlu dikesan dalam kod malware.

Penyelidik OpenSource Malware menyifatkan NullReceiver sebagai evolusi daripada teknik EtherHiding. Jika EtherHiding menyembunyikan maklumat dalam data transaksi atau kontrak pintar, NullReceiver memindahkan “rahsia” itu ke dalam alamat penerima transaksi itu sendiri .

Vendor keselamatan sependapat, tetapi tahap keyakinan berbeza

Beberapa organisasi keselamatan siber antarabangsa telah mengaitkan aktiviti ini dengan kumpulan yang sama:

• Amazon Threat Intelligence menilai dengan tahap keyakinan sederhana bahawa Sapphire Sleet berada di sebalik keempat-empat kompromi pakej npm, berdasarkan petunjuk C2 yang dikongsi, penggunaan semula kod, cangkuk selepas pemasangan dan taktik lain .
• Microsoft Threat Intelligence menilai dengan tahap keyakinan tinggi bahawa Sapphire Sleet bertanggungjawab terhadap serangan Mastra AI dan turut mengaitkan kumpulan itu dengan kompromi axios . Microsoft juga mendokumentasikan kempen yang menyasarkan macOS menggunakan umpan bertemakan Teams .
• Google Threat Intelligence mengaitkan serangan axios dengan pelaku yang sama, yang dijejakinya sebagai UNC1069 .
• Kerajaan Amerika Syarikat dan agensi keselamatan siber negara sekutu semakin kerap memberi amaran tentang pencurian mata wang kripto oleh pelaku tajaan Korea Utara melalui kompromi rantaian bekalan perisian sumber terbuka .

TRM Labs menganggarkan Korea Utara menyumbang 76% daripada keseluruhan nilai yang dicuri dalam penggodaman kripto pada 2026. Namun, angka itu tidak berpunca daripada serangan npm ini sahaja .

Setakat sumber yang tersedia, tiada kenyataan awam khusus daripada kerajaan Korea Utara yang menafikan dakwaan mengenai Sapphire Sleet atau NullReceiver ditemui. Dakwaan bahawa Pyongyang lazimnya menafikan tuduhan serangan siber tajaan negara tidak boleh dianggap sebagai penafian langsung terhadap kempen khusus ini.

Apa yang perlu dilakukan oleh pembangun dan pasukan keselamatan

Serangan ini menunjukkan bahawa mempercayai nama pakej atau penyelenggara sahaja tidak lagi memadai. Pakej yang kelihatan sah boleh berubah menjadi saluran untuk pencurian token, kunci API, kelayakan log masuk dan aset kripto.

Teknik seperti NullReceiver juga mencabar kaedah pertahanan tradisional. Penyekatan domain atau alamat IP mungkin tidak berkesan jika malware hanya mendapatkan infrastruktur arahan dan kawalan selepas ia berjalan, melalui transaksi blockchain yang kelihatan biasa.

Antara langkah yang disyorkan oleh pelbagai sumber ialah :

• Sediakan inventori bahan perisian (SBOM) dan pantau perubahan luar biasa pada semua kebergantungan.
• Gunakan tempoh kuarantin 24 hingga 72 jam dengan tidak memasang versi pakej yang baru diterbitkan sehingga ia sempat diperiksa.
• Lumpuhkan skrip kitar hayat seperti skrip pemasangan jika tidak diperlukan, dan pasang versi pakej secara deterministik.
• Hadkan kemas kini automatik jika sesuai dengan operasi pasukan.
• Anggap kompromi kebergantungan sebagai risiko terhadap kelayakan dan keseluruhan persekitaran, bukan sekadar masalah satu pakej. Putar semula rahsia dan token, asingkan sistem terjejas, semak repositori berkaitan dan pantau aktiviti susulan.

Ringkasnya, serangan Sapphire Sleet mengeksploitasi kepercayaan yang menjadi asas ekosistem sumber terbuka, manakala NullReceiver menunjukkan bahawa blockchain juga boleh dijadikan mekanisme penyamaran infrastruktur malware—malah melalui transaksi yang kelihatan kosong.