Chiến dịch Sapphire Sleet từ Triều Tiên: Giao dịch Ethereum trống ẩn mã độc npm như thế nào

Bốn gói bị xâm phạm theo thứ tự thời gian :

• typo-crypto (Tháng 3/2025): Được cho là một cuộc chạy thử nghiệm cho chiến dịch lớn hơn. Amazon đánh giá vụ xâm phạm ban đầu này nhằm hoàn thiện chiến thuật trước các cuộc tấn công chính .
• debug và chalk (Tháng 9/2025): Hai trong số những thư viện npm được tải nhiều nhất — riêng debug có hàng tỷ lượt tải mỗi tuần. Nhóm tấn công đã lừa đảo người bảo trì qua một tên miền npm giả mạo, sau đó đưa tập lệnh đánh cắp ví vào ít nhất 18 phiên bản gói độc hại . Vụ xâm phạm này ước tính đã ảnh hưởng đến 10% môi trường đám mây trong vòng hai giờ kể từ khi phát hành .
• axios (Tháng 3/2026): Một trong những thư viện HTTP client phổ biến nhất trong hệ sinh thái JavaScript, với hơn 70 triệu lượt tải hàng tuần tại thời điểm đó . Hai bản phát hành bị nhiễm độc (v1.14.1 và v0.30.4) đã đưa vào một phụ thuộc độc hại triển khai trojan truy cập từ xa .

Các tin tặc đã kết hợp kỹ thuật xã hội (social engineering) — kết bạn với người bảo trì và đánh cắp thông tin xác thực — với mã do AI tạo ra nhằm trốn tránh phát hiện . Thay vì trực tiếp sửa đổi hành vi runtime của gói, chúng đã chèn các bản cập nhật trojan hóa, triển khai tập lệnh đánh cắp ví và đánh cắp thông tin xác thực trên máy của lập trình viên trong quá trình cài đặt .

Microsoft Threat Intelligence đã độc lập quy kết vụ tấn công chuỗi cung ứng npm Mastra AI vào ngày 17/6/2026 — ảnh hưởng đến hơn 140 gói trong vòng 45 phút — cho cùng nhóm Sapphire Sleet, với đánh giá mức độ tin cậy cao .

Kỹ thuật NullReceiver: Ẩn máy chủ C2 trong giao dịch Ethereum

Trong một nghiên cứu được báo cáo từ ngày 2 đến 4 tháng 8 năm 2026, các nhà phân tích bảo mật tại OpenSource Malware đã ghi nhận một kỹ thuật chỉ huy và kiểm soát (C2) dựa trên blockchain mới có tên NullReceiver, được tìm thấy trong hai gói npm trojan hóa khác có liên quan đến Triều Tiên: bianira-ui@1.27.0 và fluid-type-ui@2.0.8 . Các gói này giả mạo các plugin Tailwind CSS hợp pháp và có liên quan đến chiến dịch "Contagious Interview" đang diễn ra .

Cách thức hoạt động của NullReceiver :

Thay vì nhúng cứng địa chỉ máy chủ C2 trong mã độc hoặc ẩn nó trong trường dữ liệu giao dịch blockchain (như các kỹ thuật trước đây như EtherHiding), NullReceiver áp dụng một cách tiếp cận tinh vi hơn:

1. Mã độc được cung cấp một địa chỉ ví Ethereum được nhúng cứng (0xa322e5f3d311d3080e6f0121063e9adc2490ef1a) .
2. Tại thời điểm chạy, mã độc truy vấn blockchain Ethereum để tìm giao dịch gửi đi gần nhất của ví đó.
3. Nó đọc địa chỉ đích của giao dịch chuyển Ethereum có giá trị bằng 0 và không có dữ liệu gần nhất.
4. Các byte của địa chỉ đích đó, khi được giải mã, sẽ cho ra địa chỉ IP của máy chủ C2 giai đoạn tiếp theo.

Kỹ thuật này làm cho việc tra cứu C2 trông giống như bất kỳ hoạt động blockchain bình thường nào — ai đó đã gửi một giao dịch chuyển tiền đến một ví khác. Không có tải trọng dữ liệu đáng ngờ, không có tên miền ẩn, và không có IP tĩnh trong chính mã độc. Như OpenSource Malware đã lưu ý, NullReceiver là một sự tiến hóa có chủ đích của EtherHiding, giải quyết các vấn đề phát hiện của phương pháp trước đó bằng cách chuyển "bí mật" từ dữ liệu gọi (calldata) của giao dịch vào chính địa chỉ người nhận .

Phản ứng quốc tế và quy kết

Nhiều hãng bảo mật lớn đã thống nhất về cùng một quy kết:

• Amazon Threat Intelligence đánh giá với mức độ tin cậy trung bình rằng Sapphire Sleet đứng sau tất cả bốn vụ xâm phạm gói, dựa trên các chỉ số C2 dùng chung, mã tái sử dụng, hook sau cài đặt và các chiến thuật khác .
• Microsoft Threat Intelligence độc lập đánh giá với mức độ tin cậy cao rằng Sapphire Sleet đứng sau vụ tấn công Mastra AI và vụ xâm phạm axios , đồng thời cũng ghi nhận các chiến dịch nhắm vào macOS của cùng nhóm này sử dụng mồi nhử chủ đề Teams .
• Google Threat Intelligence quy kết vụ tấn công axios cho cùng tác nhân này, mà họ theo dõi với tên UNC1069 .
• Các cơ quan an ninh mạng của chính phủ Mỹ và đồng minh ngày càng cảnh báo về hành vi đánh cắp tiền điện tử do nhà nước Triều Tiên bảo trợ thông qua các vụ xâm phạm chuỗi cung ứng phần mềm nguồn mở . (Theo TRM Labs, Triều Tiên đã đánh cắp ước tính 76% tổng giá trị tiền điện tử bị hack trong năm 2026, mặc dù con số này không chỉ đến từ các cuộc tấn công npm này) .

Dựa trên các nguồn tin hiện có, không tìm thấy tuyên bố công khai rõ ràng nào từ chính phủ Triều Tiên phủ nhận cụ thể các cáo buộc về Sapphire Sleet hay NullReceiver. Triều Tiên thường phủ nhận mọi cáo buộc tấn công mạng do nhà nước bảo trợ thông qua các kênh ngoại giao tiêu chuẩn, nhưng không có lời phủ nhận trực tiếp nào về các chiến dịch cụ thể này trong tập bằng chứng hiện tại.

Điều này có nghĩa gì đối với lập trình viên và đội ngũ bảo mật

Hàng chục gói độc hại hiện sử dụng kỹ thuật xã hội, mã do AI tạo ra và kỹ thuật C2 dựa trên blockchain. Phân tích tĩnh truyền thống và chặn tên miền sẽ không bắt được NullReceiver vì không có tên miền hoặc IP đáng ngờ nào xuất hiện trong chính mã độc. Các khuyến nghị bảo mật từ nhiều nguồn bao gồm :

• Duy trì hóa đơn nguyên liệu phần mềm và giám sát các phụ thuộc để phát hiện những thay đổi bất ngờ.
• Sử dụng cửa sổ cách ly (từ chối cài đặt bất kỳ phiên bản gói nào được phát hành trong 24–72 giờ qua) để làm chậm các cuộc tấn công đầu độc nhanh.
• Vô hiệu hóa tập lệnh vòng đời nếu có thể và cài đặt phiên bản gói một cách xác định.
• Coi nghi ngờ xâm phạm phụ thuộc là rủi ro rộng hơn đối với thông tin xác thực và môi trường — xoay vòng bí mật, cách ly hệ thống bị ảnh hưởng và giám sát các hoạt động tiếp theo.