Puste transakcje Ethereum ukrywają serwery złośliwego oprogramowania

Chronologia opisanych przejęć wygląda następująco :

• typo-crypto — marzec 2025 roku: mniejszy incydent, który według Amazona mógł posłużyć jako test metod wykorzystanych później na większą skalę .
• debug i chalk — wrzesień 2025 roku: dwa bardzo popularne pakiety npm. Sam debug ma miliardy pobrań tygodniowo. Napastnicy nakłonili opiekuna projektu do ujawnienia danych logowania, wykorzystując domenę przypominającą oficjalną domenę npm, a następnie opublikowali co najmniej 18 złośliwych wersji pakietów . Szacuje się, że w ciągu dwóch godzin od publikacji atak dotarł do około 10 proc. środowisk chmurowych .
• axios — marzec 2026 roku: jedna z najpopularniejszych bibliotek HTTP w ekosystemie JavaScript, pobierana wówczas ponad 70 mln razy tygodniowo . Zainfekowane wydania 1.14.1 i 0.30.4 zawierały złośliwą zależność, która instalowała trojana zdalnego dostępu .

Atakujący łączyli inżynierię społeczną — między innymi budowanie relacji z opiekunami projektów i kradzież danych uwierzytelniających — z kodem generowanym przy użyciu AI, zaprojektowanym tak, by utrudnić wykrycie . Zamiast zmieniać działanie biblioteki w oczywisty sposób, publikowali aktualizacje z dołączonymi skryptami uruchamianymi podczas instalacji. Ich celem było między innymi wykradanie danych dostępowych i opróżnianie portfeli kryptowalutowych na komputerach deweloperów .

Osobny atak na Mastra AI wzmacnia przypisanie

17 czerwca 2026 roku doszło do ataku na ekosystem Mastra AI. W ciągu 45 minut opublikowano 141 pakietów zawierających złośliwą zależność easy-day-js, podszywającą się pod popularną bibliotekę dayjs . Microsoft Threat Intelligence z wysoką pewnością przypisał ten incydent grupie Sapphire Sleet, która miała zaatakować ponad 140 pakietów npm.

To niezależne ustalenie nie dowodzi automatycznie, że każdy podobny incydent ma tego samego sprawcę, ale wzmacnia obraz grupy wykorzystującej zaufanie do otwartego oprogramowania jako drogę do komputerów deweloperów i środowisk budowania aplikacji.

NullReceiver: serwer malware’u zapisany w adresie odbiorcy

W badaniach opublikowanych 2–4 sierpnia 2026 roku analitycy OpenSource Malware opisali nową technikę komunikacji malware’u z serwerem sterującym. Nazwali ją NullReceiver. Znaleziono ją w dwóch dodatkowych, trojanizowanych pakietach npm: bianira-ui@1.27.0 i fluid-type-ui@2.0.8 . Pakiety udają legalne wtyczki Tailwind CSS i są łączone z trwającą kampanią Contagious Interview .

Mechanizm działa w kilku krokach :

1. W kodzie malware’u zapisany jest na stałe adres portfela Ethereum: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Po uruchomieniu złośliwy kod sprawdza w blockchainie najnowszą transakcję wychodzącą z tego portfela.
3. Następnie odczytuje adres docelowy najnowszego transferu, w którym nie przesłano ani środków, ani danych.
4. Bajty tego adresu po zdekodowaniu wskazują adres IP kolejnego serwera sterującego — czyli infrastruktury C2, od której malware może pobrać następny etap działania.

Dla obserwatora taka operacja wygląda jak zwykły transfer kryptowaluty. Nie zawiera podejrzanego ładunku danych, domeny ani statycznego adresu IP wpisanego bezpośrednio w kod. OpenSource Malware ocenia, że NullReceiver jest rozwinięciem wcześniejszej techniki EtherHiding: zamiast ukrywać informację w danych transakcji, przenosi ją do samego adresu odbiorcy .

To utrudnia część tradycyjnych metod obrony. Analiza statyczna może nie znaleźć adresu serwera, a blokowanie domen nie zadziała, jeśli malware najpierw pobiera adres z publicznego łańcucha bloków.

Co ustalili badacze i instytucje

W sprawie pojawiły się zgodne oceny kilku dużych zespołów zajmujących się cyberbezpieczeństwem:

• Amazon Threat Intelligence połączył cztery przejęcia na podstawie wspólnych wskaźników C2, ponownie używanego kodu, haków post-install i podobnych taktyk. Przypisanie grupie Sapphire Sleet oceniono z umiarkowaną pewnością .
• Microsoft Threat Intelligence z wysoką pewnością przypisał Sapphire Sleet atak na Mastra AI . Microsoft opisywał też kampanie tej grupy wymierzone w macOS, w których wykorzystywano przynęty stylizowane na komunikaty Microsoft Teams .
• Google Threat Intelligence przypisał atak na axios temu samemu aktorowi, którego śledzi pod oznaczeniem UNC1069 .
• Amerykańskie i sojusznicze agencje cyberbezpieczeństwa coraz częściej ostrzegają przed sponsorowanymi przez Koreę Północną kradzieżami kryptowalut z wykorzystaniem ataków na łańcuch dostaw otwartego oprogramowania . Według TRM Labs Korea Północna odpowiadała za szacunkowo 76 proc. wartości wszystkich kradzieży kryptowalut w 2026 roku, choć ta liczba nie odnosi się wyłącznie do opisanych ataków na npm .

W dostępnych materiałach nie znaleziono konkretnego, publicznego oświadczenia rządu Korei Północnej zaprzeczającego zarzutom dotyczącym Sapphire Sleet lub techniki NullReceiver. Nie należy więc przedstawiać ogólnych, typowych dla Pjongjangu zaprzeczeń wobec oskarżeń o cyberataki jako bezpośredniej reakcji na te konkretne kampanie.

Jak ograniczyć ryzyko po stronie zespołów

Opisane incydenty pokazują, że zaufanie do nazwy pakietu i automatycznych aktualizacji może być równie ważne jak bezpieczeństwo własnego kodu. Zespoły korzystające z npm powinny rozważyć następujące działania :

• prowadzenie aktualnej listy materiałów oprogramowania (SBOM) i monitorowanie zmian w zależnościach;
• wprowadzenie okna kwarantanny: unikanie instalowania wersji opublikowanych w ciągu ostatnich 24–72 godzin, o ile proces wdrożeniowy na to pozwala;
• wyłączenie skryptów cyklu życia pakietów, zwłaszcza w środowiskach, w których nie są konieczne;
• instalowanie dokładnie przypiętych wersji zależności zamiast polegania na automatycznym pobieraniu najnowszych wydań;
• traktowanie podejrzenia przejęcia zależności jako szerszego incydentu — z izolacją systemów, rotacją sekretów i monitorowaniem kolejnych prób dostępu.

NullReceiver nie sprawia, że blockchain staje się niewidzialnym kanałem komunikacji. Pokazuje jednak, jak łatwo zwykła aktywność publicznej sieci może zostać wykorzystana jako punkt orientacyjny dla malware’u. Dla obrońców oznacza to konieczność sprawdzania nie tylko kodu i domen, lecz także nietypowych zapytań do blockchainów oraz zachowania skryptów uruchamianych podczas instalacji zależności.