ChainDrop 與 NullReceiver：北韓駭客如何利用以太坊攻擊 npm 生態系統

• 惡意套件中包含一個硬編碼的以太坊錢包地址（例如 0xa322e5f3d311d3080e6f0cf0bf398ec8f06e03b7）。
• 在執行階段，惡意軟體會查詢該錢包在以太坊區塊鏈上的最新收款交易 。
• 它會讀取零值交易（null-value transactions）中的接收地址（destination address）欄位，攻擊者正是將實際C2伺服器的IP位址或域名編碼在此處 。
• 由於C2位址是儲存在區塊鏈上、看似普通的加密貨幣轉帳中，因此能融入正常的區塊鏈流量，規避傳統基於網路的偵測機制 。

這種方法讓攻擊者能夠動態更換C2基礎設施，而無需更新惡意軟體本身——他們只需發送一筆新的零值以太坊交易，並在其中編碼新的位址即可 。

更廣泛的以太坊C2技術演化

在 NullReceiver 之前，研究人員已觀察到北韓相關的npm套件利用以太坊智慧合約作為隱蔽的C2層來傳遞惡意軟體 。這顯示出一種經過策劃的策略：區塊鏈的不可篡改性、全球可及性以及結構上的合法性，使其成為理想的、具有韌性的C2通道，而防禦方幾乎無法將其關閉。

ChainDrop 蠕蟲：大規模自我傳播

2026年8月4日，微軟威脅情報團隊揭露了 ChainDrop，這是一款自我傳播的npm蠕蟲，也是迄今為止北韓相關軟體供應鏈攻擊中最具侵略性的一次 。

• 規模： 在大約兩小時內，ChainDrop 從入侵 keyv@6.0.0 套件開始，污染了 435 個套件和 1,557 個版本 。
• 機制： 該蠕蟲利用 preinstall 腳本執行混淆後的惡意載入器（例如 setup.mjs、math_init.js），下載一個名為 Mini Shai-Hulud 的憑證竊取模組 。
• 自我傳播： 一旦在受害者的 CI/CD 環境中執行，蠕蟲會竊取 npm 發布憑證，並自動將惡意更新重新發布給同一個開發者或組織所擁有的其他套件——形成連鎖感染鏈 。
• 影響範圍： 受影響的套件包括 keyv、flat-cache 和 cache-manager 等廣泛使用的工具，其下游影響深入大型企業生態系統 。

重要提示： 儘管 ChainDrop 的時機和戰術（鎖定npm、竊取憑證、以加密貨幣為動機）與北韓的活動高度吻合，但它尚未像 NullReceiver 那樣被明確歸因於特定的北韓攻擊小組。微軟的分析重點在於蠕蟲的技術解剖；歸因分析仍在進行中。

這些攻擊揭露了北韓供應鏈攻擊的哪些演變？

1. 從靜態套件到自我傳播蠕蟲

早期的北韓npm攻擊——例如 2025年9月劫持 debug、chalk 和 axios——依賴於釣魚維護者並將錢包掏空程式碼推送至靜態套件 。ChainDrop 則是一個質的飛躍：它將憑證竊取與自動重新發布相結合，將單一的入侵轉變為指數級增長的感染鏈，無需額外的社交工程 。

2. 區塊鏈作為隱蔽與韌性層

NullReceiver 及其前身顯示北韓行為者正從硬編碼或快速變換的C2，轉向基於區塊鏈的C2解析。以太坊網路成為一個全球性、抗審查、可公開驗證的公告板，攻擊者透過其錢包（財務層面）而非基礎設施（域名或IP層面）來控制它。這使得除了查封錢包本身之外，幾乎無法將其關閉 。

3. 社交工程 + AI輔助

亞馬遜威脅情報將 debug、chalk、axios 和 typo-crypto 的入侵事件，歸因於北韓相關的 Sapphire Sleet 組織（亦稱 BlueNoroff、Stardust Chollima 和 CageyChameleon），並指出其使用了AI輔助的惡意軟體生成技術以及針對開源維護者的精準社交工程 。PromptMink 攻擊活動（Famous Chollima / Shifty Corsair）則進一步展示了AI生成的惡意npm套件如何跨越七個月、超過300個版本進行持續攻擊 。

4. 跨生態系統外溢

Shai-Hulud 攻擊活動（2025年9月起）已從npm蠕蟲演變為跨生態系統的威脅，目標擴展至 PyPI 及其他套件倉庫，顯示北韓行為者致力於多平台持久化 。

5. 財務動機為主要驅動力

所有這些攻擊活動都有一個共同目標：竊取加密貨幣。無論是竊取憑證以掏空開發者錢包、劫持 CI/CD 管道注入加密貨幣竊取程式碼，還是利用區塊鏈C2維持持久化存取——最終目的都是為了將數位資產輸送至北韓政權 。

關鍵總結

北韓威脅行為者已從機會主義的套件名稱搶註，轉變為具備成熟、多向量供應鏈戰爭能力的對手——利用以太坊區塊鏈作為無法偵測的C2，利用自我複製蠕蟲進行病毒式傳播，並利用AI進行量產級的惡意軟體生成。NullReceiver 與 ChainDrop 這兩個在2026年8月初接連被揭露的攻擊活動，清楚地表明其攻擊節奏和技術野心正在加速。