Chiến dịch ChainDrop và NullReceiver: Tin tặc Triều Tiên đưa Ethereum vào làm vũ khí tấn công chuỗi cung ứng npm

Triều Tiên đang biến blockchain Ethereum thành một tầng chỉ huy và kiểm soát (C2) linh hoạt và khó bị vô hiệu hóa để tấn công hệ sinh thái npm. Bằng chứng là hai chiến dịch tháng 8/2026: kỹ thuật NullReceiver và sâu ChainDrop — một cuộc tấn công bùng nổ đánh dấu sự trưởng thành về kỹ chiến thuật của các nhóm hacker do Triều Tiên bảo trợ.

Blockchain Ethereum: Tầng C2 Bất Khả Xâm Phạm

NullReceiver: Ẩn Máy Chủ C2 Trong Giao Dịch Ethereum Rỗng

Kỹ thuật NullReceiver được phát hiện trong hai gói npm giả mạo plugin Tailwind CSS chính thống: bianira-ui@1.27.0 và fluid-type-ui@2.0.8. Cả hai đều thuộc chiến dịch Contagious Interview do Triều Tiên đứng sau. Cơ chế hoạt động như sau:

• Các gói độc hại chứa một địa chỉ ví Ethereum được mã hóa cứng (ví dụ: 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7).
• Khi chạy, mã độc truy vấn blockchain Ethereum để lấy giao dịch đến mới nhất của ví đó.
• Nó đọc trường địa chỉ đích (destination address) của các giao dịch có giá trị bằng 0 (null-value). Tại đây, tin tặc đã mã hóa địa chỉ IP hoặc tên miền của máy chủ C2 thật.
• Bởi vì địa chỉ C2 được lưu trên chuỗi trong một giao dịch chuyển tiền mã hóa trông có vẻ bình thường, nó hòa lẫn vào luồng giao dịch blockchain và qua mặt các hệ thống phát hiện dựa trên mạng truyền thống.

Cách tiếp cận này cho phép tin tặc luân chuyển cơ sở hạ tầng C2 một cách linh hoạt mà không cần cập nhật mã độc — chúng chỉ cần phát hành một giao dịch Ethereum không giá trị mới kèm địa chỉ đã được mã hóa.

Kỹ Thuật C2 Dựa Trên Ethereum Rộng Hơn

Trước NullReceiver, các gói npm do Triều Tiên kiểm soát đã bị phát hiện sử dụng hợp đồng thông minh (smart contract) của Ethereum như một tầng C2 ẩn để phát tán mã độc. Sự tiến triển này cho thấy một chiến lược có chủ đích: tính bất biến (immutability), khả năng truy cập toàn cầu và tính hợp pháp về mặt cấu trúc của blockchain khiến nó trở thành một kênh C2 lý tưởng mà người phòng thủ gần như không thể gỡ bỏ.

Sâu ChainDrop: Tự Nhân Bản Ở Quy Mô Khủng

Ngày 4/8/2026, Microsoft Threat Intelligence tiết lộ về ChainDrop, một sâu npm tự nhân bản, được xem là cuộc tấn công chuỗi cung ứng phần mềm do Triều Tiên bảo trợ mạnh mẽ nhất từ trước đến nay.

• Quy mô: Chỉ trong khoảng hai giờ, ChainDrop đầu độc 435 gói và 1.557 phiên bản, bắt đầu từ việc xâm nhập gói keyv@6.0.0.
• Cơ chế: Sâu dùng tập lệnh preinstall để thực thi các tải trọng đã bị làm rối (ví dụ: setup.mjs, math_init.js) nhằm tải xuống một mô-đun đánh cắp thông tin xác thực có tên Mini Shai-Hulud.
• Tự lây lan: Một khi được thực thi trong môi trường CI/CD của nạn nhân, sâu này đánh cắp thông tin xác thực xuất bản npm và tự động xuất bản lại các bản cập nhật độc hại cho các gói khác thuộc sở hữu của cùng một nhà phát triển hoặc tổ chức — tạo ra một chuỗi lây nhiễm theo tầng.

Lưu ý quan trọng: Mặc dù thời điểm và phương thức (TTPs) rất khớp với hoạt động của Triều Tiên, ChainDrop vẫn chưa được chính thức quy kết cho một nhóm cụ thể nào như NullReceiver. Phân tích của Microsoft tập trung vào cấu trúc kỹ thuật của sâu; việc quy kết vẫn đang trong quá trình xác minh.

Vũ Khí Hóa Chuỗi Cung Ứng: Hé Lộ Sự Tiến Hóa

1. Từ Gói Tĩnh Đến Worm Tự Nhân Bản

Các chiến dịch npm trước đây của Triều Tiên — như vụ cướp quyền kiểm soát các gói debug, chalk và axios hồi tháng 9/2025 — chủ yếu dựa vào kỹ thuật lừa đảo (phishing) người bảo trì và nhồi mã rút tiền vào các gói tĩnh. ChainDrop là một bước ngoặt: nó kết hợp việc đánh cắp thông tin xác thực với xuất bản tự động, biến một vụ xâm nhập duy nhất thành chuỗi lây nhiễm tăng theo cấp số nhân mà không cần thêm bất kỳ kỹ thuật xã hội nào.

2. Blockchain Trở Thành Lớp Ẩn Náu Và Phục Hồi

NullReceiver và các phiên bản tiền nhiệm cho thấy tin tặc Triều Tiên đã chuyển từ C2 được mã hóa cứng hoặc fast-flux sang C2 dựa trên blockchain. Mạng Ethereum trở thành một bảng tin toàn cầu, có khả năng chống kiểm duyệt và được xác minh công khai, mà tin tặc kiểm soát về mặt tài chính (thông qua ví của chúng) chứ không phải về mặt cơ sở hạ tầng (thông qua tên miền hoặc IP). Điều này khiến việc vô hiệu hóa là gần như bất khả thi nếu không tịch thu được chính chiếc ví đó.

3. Lừa Đảo Tinh Vi + Sự Trợ Giúp Của AI

Amazon Threat Intelligence đã liên kết các vụ xâm nhập debug, chalk, axios, và typo-crypto với nhóm Sapphire Sleet (còn gọi là BlueNoroff, Stardust Chollima, CageyChameleon) và ghi nhận việc sử dụng tạo mã độc hỗ trợ bởi AI cùng các cuộc tấn công lừa đảo có mục tiêu vào người bảo trì mã nguồn mở. Chiến dịch PromptMink (Famous Chollima/Shifty Corsair) cũng cho thấy các gói npm độc hại do AI tạo ra được duy trì trong hơn bảy tháng qua 300 phiên bản.

4. Lan Tràn Đa Hệ Sinh Thái

Chiến dịch Shai-Hulud (từ tháng 9/2025) đã phát triển từ một worm npm thành mối đe dọa đa hệ sinh thái, nhắm vào cả PyPI và các kho lưu trữ khác. Điều này chứng tỏ tin tặc Triều Tiên đầu tư vào sự bền bỉ trên nhiều nền tảng.

5. Mục Tiêu Chính: Đánh Cắp Tiền Mã Hóa

Tất cả các chiến dịch này đều có chung một mục tiêu cuối cùng: đánh cắp tiền mã hóa. Dù là lấy cắp thông tin đăng nhập để rút sạch ví của lập trình viên, cướp quyền kiểm soát pipeline CI/CD để nhồi mã độc đánh cắp tiền số, hay dùng blockchain làm C2 để duy trì truy cập liên tục — mục đích cuối cùng vẫn là rút tiền số để nuôi dưỡng bộ máy của Triều Tiên.

Tổng Kết

Chiến Dịch	Kỹ Thuật	Đổi Mới
NullReceiver (T8/2026)	Địa chỉ C2 được mã hóa trong trường to của giao dịch Ethereum giá trị 0	C2 dựa trên blockchain; hòa lẫn vào lưu lượng bình thường; không có rủi ro bị gỡ bỏ
ChainDrop (4/8/2026)	Worm tự nhân bản dùng thông tin xác thực npm bị đánh cắp; 435 gói trong 2 giờ	Worm npm đầu tiên do Triều Tiên thực hiện; lây lan tự động qua CI/CD
Sapphire Sleet (2025–2026)	Cướp tài khoản bảo trì debug, chalk, axios; dùng AI tạo mã độc	Kết nối 4 vụ xâm nhập lớn thành một nhóm duy nhất
Contagious Interview (2024–2026)	Phỏng vấn xin việc giả nhắm vào lập trình viên; 1.700+ gói độc qua npm, Go, Rust, PHP	Quy mô đa hệ sinh thái; đường ống lừa đảo bền bỉ

Tin tặc Triều Tiên đã chuyển mình từ những vụ chiếm quyền kiểm soát gói cơ hội sang một năng lực tác chiến thuần thục, đa hướng trên chuỗi cung ứng — sử dụng blockchain Ethereum cho C2 không thể phát hiện, worm tự sao chép cho lây lan virus, và AI cho sản xuất mã độc hàng loạt với tốc độ cao. Các chiến dịch NullReceiver và ChainDrop, chỉ cách nhau vài ngày đầu tháng 8/2026, cho thấy nhịp độ tác chiến và tham vọng kỹ thuật đang ngày càng gia tăng.