Sapphire Sleet: แฮกเกอร์เกาหลีเหนือซ่อนเซิร์ฟเวอร์มัลแวร์ไว้ในธุรกรรม Ethereum เปล่า

ลำดับเหตุการณ์ของแพ็กเกจที่ได้รับผลกระทบมีดังนี้

• typo-crypto — มีนาคม 2025: Amazon เชื่อว่าอาจเป็นการทดลองหรือการทดสอบแนวทาง ก่อนยกระดับไปสู่การโจมตีที่มีขนาดใหญ่กว่า
• debug และ chalk — กันยายน 2025: ทั้งสองเป็นไลบรารี npm ที่ถูกดาวน์โหลดจำนวนมาก โดยเฉพาะ debug ซึ่งมียอดดาวน์โหลดระดับหลายพันล้านครั้งต่อสัปดาห์ ผู้โจมตีหลอกเอาข้อมูลประจำตัวของผู้ดูแลแพ็กเกจผ่านเว็บไซต์ npm ปลอมที่มีหน้าตาคล้ายของจริง จากนั้นเผยแพร่สคริปต์ดูดเงินจากกระเป๋าคริปโตในแพ็กเกจที่เป็นอันตรายอย่างน้อย 18 เวอร์ชัน Amazon ประเมินว่าการโจมตีเข้าถึงสภาพแวดล้อมคลาวด์ราว 10% ภายในเวลา 2 ชั่วโมง หลังเผยแพร่
• axios — มีนาคม 2026: ไลบรารี HTTP client ยอดนิยมในระบบนิเวศ JavaScript ซึ่งมียอดดาวน์โหลดมากกว่า 70 ล้านครั้งต่อสัปดาห์ในเวลานั้น เวอร์ชันที่ถูกวางยาคือ v1.14.1 และ v0.30.4 โดยมีการเพิ่ม dependency อันตรายเพื่อดาวน์โหลดและติดตั้งโทรจันที่เปิดทางให้ผู้โจมตีเข้าถึงระบบจากระยะไกล

รูปแบบการโจมตีไม่ได้อาศัยการเจาะ npm โดยตรงหรือช่องโหว่แบบ zero-day เป็นหลัก แต่ใช้ วิศวกรรมสังคม เช่น การสร้างความสนิทสนมกับผู้ดูแลแพ็กเกจและขโมยข้อมูลเข้าสู่ระบบ ก่อนส่งอัปเดตที่ถูกฝังโค้ดอันตรายออกไป นักวิจัยยังพบการใช้โค้ดที่สร้างโดย AI ซึ่งออกแบบมาเพื่อหลบเลี่ยงการตรวจจับ

เมื่อผู้ใช้ติดตั้งแพ็กเกจ อัปเดตดังกล่าวสามารถเรียกใช้สคริปต์หลังการติดตั้ง เพื่อขโมยข้อมูลประจำตัว คีย์การเข้าถึง และสินทรัพย์ในกระเป๋าคริปโต แทนที่จะเปลี่ยนพฤติกรรมหลักของแพ็กเกจอย่างชัดเจน

Microsoft Threat Intelligence ยังเชื่อมโยงกลุ่มเดียวกันกับการโจมตีห่วงโซ่อุปทาน npm ของ Mastra AI เมื่อวันที่ 17 มิถุนายน 2026 โดยมีแพ็กเกจมากกว่า 140 รายการได้รับผลกระทบภายในช่วงเวลาเพียง 45 นาที และประเมินความเชื่อมโยงกับ Sapphire Sleet ด้วย ความเชื่อมั่นระดับสูง

NullReceiver: เมื่อธุรกรรม Ethereum เปล่ากลายเป็นป้ายบอกทางของมัลแวร์

ในงานวิจัยที่เผยแพร่ช่วงวันที่ 2–4 สิงหาคม 2026 นักวิเคราะห์จาก OpenSource Malware รายงานเทคนิคควบคุมและสั่งการมัลแวร์แบบใหม่ที่เรียกว่า NullReceiver เทคนิคนี้ถูกพบในแพ็กเกจ npm ที่ถูกวางยา 2 รายการ ได้แก่ bianira-ui@1.27.0 และ fluid-type-ui@2.0.8 ซึ่งปลอมตัวเป็นปลั๊กอิน Tailwind CSS ที่ถูกต้อง และเชื่อมโยงกับแคมเปญที่เรียกว่า “Contagious Interview”

หลักการทำงานของ NullReceiver มีดังนี้

1. มัลแวร์ฝังที่อยู่กระเป๋า Ethereum ไว้ในโค้ดแบบตายตัว คือ 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a
2. เมื่อทำงาน มัลแวร์จะสอบถามบล็อกเชน Ethereum เพื่อค้นหาธุรกรรมขาออกล่าสุดของกระเป๋าดังกล่าว
3. มัลแวร์จะอ่าน ที่อยู่ปลายทาง ของธุรกรรม Ethereum ล่าสุดที่มีมูลค่าเป็นศูนย์และไม่มีข้อมูลแนบอยู่
4. เมื่อนำไบต์ของที่อยู่ปลายทางไปถอดรหัส จะได้ IP address ของเซิร์ฟเวอร์ควบคุมและสั่งการ หรือ C2 สำหรับขั้นตอนถัดไป

จุดสำคัญคือ ธุรกรรมดังกล่าวดูคล้ายกิจกรรมบนบล็อกเชนทั่วไป เพราะไม่มี payload ที่น่าสงสัย ไม่มีโดเมนแปลกปลอม และไม่มี IP ของเซิร์ฟเวอร์ฝังอยู่ในโค้ดมัลแวร์โดยตรง

ก่อนหน้านี้ เทคนิคอย่าง EtherHiding ซ่อนข้อมูลไว้ในฟิลด์ข้อมูลของธุรกรรมหรือ smart contract แต่ NullReceiver ย้าย “ความลับ” ไปไว้ที่ที่อยู่ผู้รับของธุรกรรมแทน นักวิจัยจาก OpenSource Malware มองว่านี่เป็นการพัฒนาต่อยอดที่ช่วยหลบเลี่ยงข้อจำกัดด้านการตรวจจับของวิธีเดิม

บริษัทความปลอดภัยหลายรายชี้ไปที่กลุ่มเดียวกัน

การวิเคราะห์จากผู้ให้บริการความปลอดภัยรายใหญ่มีข้อสรุปไปในทิศทางเดียวกัน แม้ระดับความเชื่อมั่นจะแตกต่างกัน

• Amazon Threat Intelligence ประเมินด้วยความเชื่อมั่นระดับปานกลางว่า Sapphire Sleet อยู่เบื้องหลังการบุกรุกแพ็กเกจทั้ง 4 รายการ โดยพิจารณาจากตัวชี้วัด C2 การนำโค้ดกลับมาใช้ซ้ำ post-install hook และเทคนิคปฏิบัติการที่สอดคล้องกัน
• Microsoft Threat Intelligence ประเมินด้วยความเชื่อมั่นระดับสูงว่า Sapphire Sleet รับผิดชอบการโจมตี Mastra AI และเชื่อมโยงกลุ่มนี้กับเหตุโจมตี axios อีกทั้งยังรายงานแคมเปญที่มุ่งเป้าไปยัง macOS และใช้สิ่งล่อใจที่เกี่ยวข้องกับ Microsoft Teams
• Google Threat Intelligence เชื่อมโยงการโจมตี axios กับผู้โจมตีรายเดียวกัน โดยติดตามกลุ่มนี้ในชื่อ UNC1069
• หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ และประเทศพันธมิตร เตือนเพิ่มขึ้นเกี่ยวกับการโจรกรรมคริปโตที่เชื่อมโยงกับเกาหลีเหนือ โดยเฉพาะการใช้การโจมตีห่วงโซ่อุปทานของซอฟต์แวร์โอเพนซอร์ส

ข้อมูลจาก TRM Labs ระบุว่าเกาหลีเหนือเกี่ยวข้องกับมูลค่าความเสียหายจากการแฮ็กคริปโตทั่วโลกประมาณ 76% ในปี 2026 อย่างไรก็ตาม ตัวเลขดังกล่าวไม่ได้เกิดจากเหตุโจมตี npm เหล่านี้เพียงอย่างเดียว

จากแหล่งข้อมูลที่มีอยู่ ยังไม่พบคำแถลงสาธารณะโดยตรงจากรัฐบาลเกาหลีเหนือที่ปฏิเสธข้อกล่าวหาเกี่ยวกับ Sapphire Sleet หรือ NullReceiver โดยเฉพาะ ดังนั้นจึงควรแยกให้ชัดระหว่าง “ยังไม่พบการปฏิเสธในหลักฐานชุดนี้” กับการสรุปว่ารัฐบาลเกาหลีเหนือยอมรับข้อกล่าวหา

นักพัฒนาและทีมความปลอดภัยควรรับมืออย่างไร

NullReceiver อาจทำให้แนวทางป้องกันแบบเดิม เช่น การบล็อกโดเมนหรือการค้นหา IP ที่ฝังอยู่ในโค้ด ทำงานได้ไม่เต็มที่ เพราะมัลแวร์ไม่ได้แสดงที่อยู่เซิร์ฟเวอร์อย่างตรงไปตรงมา การป้องกันจึงควรครอบคลุมทั้งกระบวนการจัดการ dependency และสภาพแวดล้อมของนักพัฒนา

• จัดทำ บัญชีรายการซอฟต์แวร์ (software bill of materials หรือ SBOM) และตรวจสอบการเปลี่ยนแปลงของ dependency ที่ไม่คาดคิด
• กำหนดช่วงกักกัน 24–72 ชั่วโมง โดยหลีกเลี่ยงการติดตั้งแพ็กเกจเวอร์ชันที่เพิ่งเผยแพร่ทันที เพื่อช่วยลดความเสี่ยงจากการวางยาแบบเร่งด่วน
• ปิดการทำงานของ lifecycle scripts เมื่อทำได้ และติดตั้งแพ็กเกจด้วยเวอร์ชันที่กำหนดไว้อย่างแน่นอน
• หากสงสัยว่า dependency ถูกบุกรุก อย่าจำกัดการตรวจสอบไว้แค่แพ็กเกจนั้น ควรถือว่าเป็นความเสี่ยงต่อข้อมูลประจำตัวและสภาพแวดล้อมโดยรวม
• แยกระบบที่อาจได้รับผลกระทบ หมุนเวียน secret และ credential ที่เกี่ยวข้อง และเฝ้าระวังกิจกรรมต่อเนื่องหลังการบุกรุก

บทเรียนสำคัญคือ แพ็กเกจที่ดูเหมือนเป็นเพียงส่วนประกอบเล็ก ๆ ของโปรเจกต์ อาจกลายเป็นช่องทางเข้าสู่เครื่องนักพัฒนา ระบบ build และโครงสร้างพื้นฐานขององค์กรได้ ขณะที่บล็อกเชนซึ่งมักถูกมองว่าเป็นบัญชีธุรกรรมที่ตรวจสอบได้ ก็สามารถถูกนำมาใช้เป็นกลไกค้นหาเซิร์ฟเวอร์มัลแวร์ได้เช่นกัน