Пустая транзакция Ethereum как тайник: как Sapphire Sleet прячет вредоносный код в npm

Amazon оценила атрибуцию как имеющую среднюю степень уверенности и назвала группировку финансово мотивированной . Последовательность атак выглядела так :

• typo-crypto — март 2025 года. По оценке Amazon, этот сравнительно небольшой инцидент мог быть пробным запуском перед более масштабной кампанией .
• debug и chalk — сентябрь 2025 года. Злоумышленники завладели учетными данными сопровождающего пакеты разработчика с помощью фишингового домена, похожего на официальный npm-сайт. Затем они опубликовали вредоносные версии: как минимум 18 релизов содержали скрипт для кражи средств из криптокошельков . По оценке исследователей, в течение двух часов после публикации атака затронула около 10% облачных сред .
• axios — март 2026 года. Речь идет об одной из самых популярных библиотек для HTTP-запросов в JavaScript-экосистеме: на момент атаки она загружалась более 70 миллионов раз в неделю . Вредоносными оказались версии 1.14.1 и 0.30.4; через дополнительную зависимость они устанавливали троян с удаленным доступом .

Атакующие сочетали социальную инженерию — знакомство с сопровождающими пакеты и кражу их учетных данных — с кодом, созданным при помощи ИИ и рассчитанным на обход обнаружения . Вместо прямого изменения основной логики библиотек они внедряли вредоносные обновления, которые запускали во время установки скрипты для кражи криптовалюты, учетных данных и токенов разработчиков .

Microsoft Threat Intelligence независимо связала с Sapphire Sleet другую атаку — инцидент вокруг Mastra AI 17 июня 2026 года. За 45 минут злоумышленники опубликовали вредоносные версии более 140 npm-пакетов; Microsoft оценила эту атрибуцию как имеющую высокую степень уверенности .

NullReceiver: как сервер управления прячется в Ethereum

2–4 августа 2026 года специалисты OpenSource Malware сообщили о новой блокчейн-технике управления вредоносным ПО под названием NullReceiver. Ее обнаружили в пакетах bianira-ui@1.27.0 и fluid-type-ui@2.0.8, которые имитируют легитимные плагины Tailwind CSS и связываются с кампанией Contagious Interview .

Механизм работает следующим образом :

1. Вредоносный пакет содержит адрес Ethereum-кошелька: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. После запуска программа обращается к блокчейну и ищет последнюю исходящую транзакцию этого кошелька.
3. Она проверяет адрес получателя в самой свежей транзакции с нулевой суммой и без данных.
4. Байты этого адреса после декодирования указывают на IP-адрес следующего сервера управления — C2.

Для системы мониторинга такая операция может выглядеть как обычный перевод между криптокошельками. В транзакции нет подозрительной нагрузки, скрытого домена или зашитого в коде статического IP-адреса.

Исследователи считают NullReceiver развитием более раннего подхода EtherHiding. В EtherHiding вредоносные данные прятались в полях данных блокчейн-транзакций или смарт-контрактах. В новом варианте «секрет» перенесен непосредственно в адрес получателя пустого перевода .

Что показала международная реакция

Несколько крупных компаний по кибербезопасности пришли к близким выводам:

• Amazon Threat Intelligence связала четыре взлома npm-пакетов на основе совпадений в инфраструктуре C2, повторного использования кода, post-install-хуков и других общих тактик . При этом степень уверенности Amazon остается средней.
• Microsoft Threat Intelligence с высокой степенью уверенности приписала Sapphire Sleet атаку на Mastra AI , а также связала с группировкой компрометацию axios . Microsoft отдельно описывала кампании против macOS с приманками, стилизованными под Microsoft Teams .
• Google Threat Intelligence также связала атаку на axios с тем же оператором, которого отслеживает под обозначением UNC1069 .
• Правительство США и союзные ведомства все чаще предупреждают о кражах криптовалюты, связанных с северокорейскими группировками и атаками на цепочки поставок открытого программного обеспечения . По данным TRM Labs, в 2026 году на Северную Корею пришлось около 76% стоимости всех криптовалютных взломов. Эта оценка не означает, что весь ущерб был связан именно с npm-атаками .

В доступном наборе источников не обнаружено отдельного публичного заявления правительства КНДР, которое прямо отрицало бы обвинения в адрес Sapphire Sleet или технику NullReceiver. Более широкие обвинения в поддерживаемых государством кибератаках Пхеньян обычно отвергает через дипломатические каналы, однако подтвержденного опровержения именно этих кампаний в указанных материалах нет.

Что это значит для разработчиков

NullReceiver показывает, почему привычных мер вроде статического анализа и блокировки подозрительных доменов может быть недостаточно: в коде вредоносного пакета не обязательно присутствуют ни домен, ни постоянный IP-адрес.

Рекомендации, которые повторяются в отчетах специалистов :

• вести актуальный перечень компонентов программного обеспечения (SBOM) и отслеживать неожиданные изменения зависимостей;
• вводить карантин для новых релизов — например, не устанавливать версии, опубликованные в последние 24–72 часа;
• по возможности отключать lifecycle-скрипты npm и устанавливать зависимости строго по зафиксированным версиям;
• при подозрении на компрометацию зависимости считать под угрозой не только сам пакет, но и всю среду: изолировать системы, заменить секреты и токены, а также отслеживать дальнейшую активность.

Главный вывод для команд разработки прост: доверие к имени пакета уже не является достаточной гарантией безопасности. Опасным может оказаться обновление библиотеки, которое на первый взгляд выглядит обычным, а канал связи вредоносной программы — транзакция, не содержащая ни средств, ни данных.