北韓黑客用以太坊區塊鏈偷藏C2伺服器 ChainDrop蠕蟲兩小時毒害435個npm套件

北韓威脅者正積極將以太坊區塊鏈武器化，作為一條難以被取締嘅命令與控制（C2）通道，針對npm生態系統發動攻擊。2026年8月初接連爆出嘅 NullReceiver 技術同 ChainDrop蠕蟲，正正標誌住DPRK軟件供應鏈攻擊嘅操作成熟度已經上咗一個新台階 。

以太坊區塊鏈做C2基建

NullReceiver：將C2隱藏喺零值以太坊交易入面

研究人員喺兩個假冒咗Tailwind CSS插件嘅惡意npm套件——bianira-ui@1.27.0 同 fluid-type-ui@2.0.8——入面發現咗呢種新技術，佢哋同DPRK嘅 Contagious Interview 行動有關 。運作原理係咁：

• 惡意套件入面硬編碼咗一個以太坊錢包地址（例如 0xa322e5f3d311d3080e0cf0bf398ec8f06e03b7）。
• 喺執行嗰陣，惡意碼會查詢以太坊區塊鏈，睇吓呢個錢包最新收到嘅交易 。
• 佢會讀取 接收地址欄位 嘅零值（null-value）交易，黑客將C2伺服器嘅IP地址或域名編碼咗喺嗰度 。
• 因為C2地址係儲存喺區塊鏈上面、睇落同普通加密貨幣轉帳冇分別，所以極難被傳統網絡偵測系統發現 。

呢個做法令攻擊者可以動態咁輪換C2基建而唔使更新惡意碼——佢哋只要發送一筆新嘅零值以太坊交易，入面編碼好新地址就得 。

更廣泛嘅以太坊C2手法

喺NullReceiver之前，已經有DPRK相關嘅npm套件被發現用以太坊智能合約做隱藏C2層嚟傳播惡意碼 。呢個發展顯示黑客係有策略咁行：區塊鏈嘅不可竄改性、全球可達性同結構合法性，令佢成為一條防禦者好難拆得走嘅C2通道。

ChainDrop蠕蟲：大規模自我複製

2026年8月4日，Microsoft威脅情報揭露咗 ChainDrop，呢隻自我複製嘅npm蠕蟲到目前為止係最猛烈嘅DPRK相關供應鏈攻擊 。

• 規模： 大概兩小時內，ChainDrop由騎劫 keyv@6.0.0 開始，毒害咗 435個套件同1,557個版本 。
• 機制： 蠕蟲透過 preinstall 指令碼執行混淆咗嘅payload（例如 setup.mjs、math_init.js），下載一個叫 Mini Shai-Hulud 嘅竊密模組 。
• 自我散播： 一旦喺受害者嘅CI/CD環境執行，蠕蟲會偷取npm發佈憑證，然後自動將惡意更新推送到同一個開發者或組織名下嘅 其他 套件——形成一條連鎖感染鏈 。
• 影響範圍： 受影響套件包括 keyv、flat-cache、cache-manager 等廣泛使用嘅工具，影響到下游大型企業生態系統 。

重要提返： 雖然ChainDrop嘅時間點同TTPs（針對npm、竊取憑證、加密貨幣動機）同DPRK活動高度吻合，但暫時仲未好似NullReceiver咁正式歸因到特定嘅DPRK小組。Microsoft嘅分析集中喺蠕蟲嘅技術細節；歸因方面仍然喺調查階段。

呢啲攻擊揭示咗DPRK供應鏈攻擊嘅演變

1. 由靜態套件到自我複製蠕蟲

早期嘅DPRK npm攻擊——例如 2025年9月騎劫 debug、chalk 同 axios——主要靠釣魚維護者然後將錢包竊密碼推入靜態套件 。ChainDrop係一個質嘅飛躍：佢將竊取憑證同自動重新發佈結合，將一個簡單嘅騎劫變成幾何級數增長嘅感染鏈，唔再需要更多嘅社交工程 。

2. 區塊鏈做隱身同韌性層

NullReceiver同之前嘅攻擊顯示，DPRK黑客由硬編碼或fast-flux C2，轉向 區塊鏈解析C2。以太坊網絡變成一個全球性、審查唔到、公開可驗證嘅告示板，攻擊者係用錢包（金融層面）去控制，而唔係用域名或IP（基建層面）。呢個令取締幾乎冇可能，除非可以凍結到個錢包 。

3. 社交工程 + AI輔助

Amazon威脅情報將 debug、chalk、axios 同 typo-crypto 嘅騎劫歸因到DPRK相關嘅 Sapphire Sleet 小組（亦稱為BlueNoroff、Stardust Chollima、CageyChameleon），仲指出佢哋用 AI輔助生成惡意碼 同針對開源維護者嘅精準社交工程 。PromptMink行動（Famous Chollima/Shifty Corsair）更加展示咗用AI生成嘅惡意npm套件，持續咗七個月，出版咗超過300個版本 。

4. 跨生態系統擴散

Shai-Hulud 行動（2025年9月起）由npm蠕蟲演變成交叉生態系統威脅，開始攻擊PyPI同其他registry，顯示DPRK黑客會投資喺多平台持續滲透 。

5. 財務動機係主要驅力

所有呢啲行動都有一個共同目標：偷加密貨幣。無論係偷憑證嚟清空開發者錢包、騎劫CI/CD管道注入偷幣碼、定係用區塊鏈C2保持持續存取——最終目的都係將數碼資產泵走，為北韓政權提供資金 。

重點一覽

行動	技術	創新點
NullReceiver（2026年8月）	將C2地址編碼喺零值以太坊交易嘅接收地址欄位	區塊鏈解析C2；融入正常交易；冇被取締風險
ChainDrop（2026年8月4日）	用偷返嚟嘅npm憑證自我複製嘅蠕蟲；兩小時毒害435個套件	npm首個已知DPRK蠕蟲；經CI/CD自動橫向擴散
Sapphire Sleet行動（2025–2026）	釣魚 debug、chalk、axios 維護者；用AI生成惡意碼	歸因將4個大型入侵連結到同一DPRK小組
Contagious Interview（2024–2026）	扮求職面試引開發者上當；1,700+個惡意套件橫跨npm、Go、Rust、PHP	多生態系統規模；持續嘅社交工程管道

DPRK威脅者已經由投機式嘅套件名稱騎劫，進化到成熟、多向量嘅供應鏈戰爭能力——用以太坊區塊鏈做 無法偵測嘅C2、用自我複製蠕蟲做 病毒式擴散、用AI做 量產速度嘅惡意碼生成。NullReceiver同ChainDrop呢兩個行動，喺2026年8月初幾日內接連曝光，顯示佢哋嘅操作節奏同技術野心正喺度加速緊。