Sapphire Sleet: як шкідливі npm-пакети ховають сервери керування в порожніх Ethereum-транзакціях

Паралельно дослідники описали новий спосіб приховування інфраструктури шкідливого програмного забезпечення: адреса сервера, який віддає команди зараженій системі, кодується в адресі призначення звичайної Ethereum-транзакції без суми та додаткових даних. Техніка отримала назву NullReceiver .

Кампанія Sapphire Sleet: від тесту до масштабних атак

29 липня 2026 року Amazon оприлюднила аналіз, у якому пов’язала чотири окремі інциденти в екосистемі npm з одним актором — Sapphire Sleet. ATI оцінює це ототожнення із середньою впевненістю та вважає групу фінансово мотивованою .

Послідовність атак була такою :

• typo-crypto — березень 2025 року. Імовірно, це був пробний етап, під час якого нападники відпрацьовували підходи для подальших атак .
• debug і chalk — вересень 2025 року. Обидві бібліотеки широко використовуються у світі JavaScript, а debug має мільярди завантажень щотижня. Зловмисники виманили облікові дані супровідника пакета через фішинг із використанням домену-двійника npm, після чого опублікували шкідливий код щонайменше у 18 версіях пакетів . За оцінкою дослідників, протягом двох годин після публікації атака могла охопити близько 10% хмарних середовищ .
• axios — березень 2026 року. Це одна з найпопулярніших бібліотек HTTP-запитів у JavaScript-екосистемі — на той момент вона мала понад 70 мільйонів завантажень щотижня . У версіях 1.14.1 і 0.30.4 з’явилася шкідлива залежність, яка завантажувала троян віддаленого доступу .

Замість зламу самого реєстру npm нападники використовували соціальну інженерію: входили в довіру до супровідників пакетів, викрадали їхні облікові дані та публікували оновлення з довірених акаунтів . Шкідливі зміни запускалися під час встановлення залежностей і могли викрадати облікові дані, токени, ключі API та криптовалюту. За даними дослідників, частина коду була створена або доповнена за допомогою ШІ, щоб ускладнити виявлення .

Що таке NullReceiver

2–4 серпня 2026 року аналітики OpenSource Malware повідомили про NullReceiver — техніку блокчейн-командування, виявлену у двох інших троянізованих npm-пакетах: bianira-ui@1.27.0 і fluid-type-ui@2.0.8 . Пакети маскувалися під легітимні плагіни Tailwind CSS і пов’язуються з кампанією Contagious Interview .

C2 (command and control, або сервер командування та керування) — це інфраструктура, через яку шкідлива програма отримує команди від оператора. У випадку NullReceiver вона визначається так :

1. У коді заздалегідь зашивається адреса Ethereum-гаманця: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Після запуску шкідлива програма звертається до блокчейна Ethereum і шукає останню вихідну транзакцію з цього гаманця.
3. Вона знаходить останній переказ із нульовою сумою та без даних і зчитує адресу його отримувача.
4. Байти цієї адреси декодуються в IP-адресу наступного C2-сервера.

На відміну від традиційного підходу, у коді немає статичної IP-адреси чи підозрілого домену. Також у транзакції немає прихованого повідомлення або додаткового корисного навантаження — зовні це виглядає як звичайна операція в блокчейні.

Дослідники вважають NullReceiver розвитком попередньої техніки EtherHiding. Якщо EtherHiding ховав код у даних блокчейн-транзакції або смартконтракту, NullReceiver переносить «секрет» у саму адресу одержувача нульового переказу . Це ускладнює виявлення за допомогою пошуку підозрілих даних у транзакціях.

Реакція дослідників і питання атрибуції

До висновків про зв’язок атак із Sapphire Sleet дійшли кілька великих компаній з кібербезпеки:

• Amazon Threat Intelligence із середньою впевненістю пов’язала з групою всі чотири компрометації, посилаючись на спільні C2-індикатори, повторне використання коду, схожі post-install-скрипти та інші збіги в тактиці .
• Microsoft Threat Intelligence із високою впевненістю пов’язала Sapphire Sleet із червневою атакою на екосистему Mastra AI. 17 червня 2026 року за 45 хвилин було опубліковано 141 пакет зі шкідливою залежністю; загалом постраждали понад 140 пакетів . Microsoft також описувала macOS-кампанії групи з приманками, стилізованими під Microsoft Teams .
• Google Threat Intelligence пов’язала атаку на axios із тим самим актором, якого відстежує під позначенням UNC1069 .
• Американські та союзницькі органи кібербезпеки дедалі частіше попереджають про крадіжки криптовалюти, пов’язані з Північною Кореєю, через компрометацію ланцюгів постачання відкритого програмного забезпечення . За даними TRM Labs, у 2026 році на Північну Корею припадало близько 76% вартості всіх криптовалютних зламів, однак ця оцінка не стосується виключно npm-атак .

У доступних матеріалах не знайдено окремої публічної заяви уряду Північної Кореї, яка б прямо заперечувала саме звинувачення у кампаніях Sapphire Sleet або NullReceiver. У джерелах зазначається, що Пхеньян зазвичай заперечує звинувачення у державних кібератаках дипломатичними каналами, але підтвердження прямої заяви щодо цих конкретних інцидентів немає.

Як захиститися розробникам і командам безпеки

NullReceiver показує, чому одних статичних перевірок і блокування доменів недостатньо: шкідливий код може не містити ані підозрілого домену, ані IP-адреси, а отримувати їх під час роботи з публічного блокчейна.

Фахівцям варто:

• вести перелік компонентів програмного забезпечення (SBOM) і відстежувати несподівані зміни в залежностях;
• запровадити карантинне вікно — за можливості не встановлювати версії пакетів, опубліковані протягом останніх 24–72 годин ;
• вимикати lifecycle-скрипти під час встановлення, якщо вони не потрібні, і використовувати детерміноване встановлення за зафіксованими версіями;
• обмежувати автоматичне оновлення залежностей і перевіряти нетипові мережеві з’єднання з робочих станцій та систем складання ;
• розглядати підозрілу залежність як ризик для всього середовища: ізолювати уражені системи, перевірити репозиторії, змінити секрети й облікові дані та стежити за подальшою активністю .

Головний урок цих інцидентів полягає в тому, що довіра до популярного пакета вже не є достатньою гарантією безпеки. Ризик може з’явитися не в основному коді бібліотеки, а в оновленні, залежності або скрипті, який запускається ще до того, як застосунок почне працювати.