北韓 Sapphire Sleet 行動：空白以太坊交易如何成為隱藏 npm 惡意軟體的新手法

這四個遭駭的套件按時間順序排列如下 ：

• typo-crypto（2025 年 3 月）：很可能是更大規模攻擊的試探性行動。Amazon 評估，這次最初的入侵被用來在主要攻擊前磨練相關戰術 。
• debug 與 chalk（2025 年 9 月）：這是兩個下載量最大的 npm 函式庫——debug 單一套件每週下載量就高達數十億次。攻擊者透過一個假冒的 npm 域名對維護者進行釣魚攻擊，然後將一個錢包盜取腳本推送至至少 18 個惡意套件版本中 。該入侵在發布後的兩小時內，影響了估計 10% 的雲端環境 。
• axios（2026 年 3 月）：JavaScript 生態系中最受歡迎的 HTTP 客戶端函式庫之一，當時每週下載量超過 7000 萬次 。兩個被投毒的版本（v1.14.1 與 v0.30.4）引入了一個惡意依賴項，該依賴項會部署一個遠端存取木馬 (RAT) 。

攻擊者結合了社交工程——與維護者建立關係並竊取憑證——以及旨在規避偵測的AI 生成程式碼 。他們並非直接修改套件的執行時期行為，而是在套件安裝期間，將惡意更新注入開發者機器中，部署錢包盜取腳本和憑證竊取器 。

微軟威脅情報獨立將 2026 年 6 月 17 日發生的 Mastra AI npm 供應鏈攻擊——在 45 分鐘內影響超過 140 個套件——歸因於同一個 Sapphire Sleet 組織，並以高度信心評估其發現 。

NullReceiver 技術：將 C2 伺服器隱藏在以太坊交易中

根據 2026 年 8 月 2 日至 4 日報導的研究，OpenSource Malware 的安全分析師記錄了一種基於區塊鏈的新型指令與控制 (C2) 技術，稱為 NullReceiver，這種技術被發現在另外兩個與北韓有關的惡意 npm 套件中：bianira-ui@1.27.0 和 fluid-type-ui@2.0.8 。這些套件假冒合法的 Tailwind CSS 外掛程式，並與正在進行的「Contagious Interview」攻擊活動有關 。

NullReceiver 的運作方式 ：

與其將 C2 伺服器地址硬編碼在惡意軟體程式碼中，或如早期的 EtherHiding 技術將它隱藏在區塊鏈交易資料欄位中，NullReceiver 採取了一種更為隱晦的方法：

1. 惡意軟體在出廠時就帶有一個硬編碼的以太坊錢包地址 (0xa322e5f3d311d3080e6f0121063e9adc2490ef1a) 。
2. 在執行時期，它會查詢以太坊區塊鏈，找出該錢包最近一筆的對外交易。
3. 它讀取該筆最新的零值、零數據以太坊轉帳的接收方地址。
4. 該接收方地址的字節數，在解碼後，會解析出下一階段的 C2 伺服器 IP 位址。

這項技術讓 C2 查詢看起來就像任何正常的區塊鏈活動——有人發送了一筆轉帳到另一個錢包。過程中沒有可疑的數據酬載、沒有隱藏的域名，惡意軟體程式碼本身也沒有靜態 IP。正如 OpenSource Malware 所指出的，NullReceiver 是 EtherHiding 的有意演化，透過將「機密」從交易的調用數據 (calldata) 轉移到接收方地址本身，解決了早期方法的偵測問題 。

國際回應與歸因

多家主要安全供應商得出了相同的歸因結論：

• Amazon 威脅情報以中等信心度評估，Sapphire Sleet 是這四起套件入侵事件的幕後黑手，其依據包括共享的 C2 指標、程式碼重用、安裝後鉤子以及其他戰術 。
• 微軟威脅情報則獨立以高度信心評估，Sapphire Sleet 是 Mastra AI 攻擊事件 和 axios 入侵事件 的元凶，同時也記錄了該組織利用 Teams 主題誘餌針對 macOS 平台的攻擊活動 。
• Google 威脅情報也將 axios 攻擊事件歸因於同一個行為者，他們將其追蹤為 UNC1069 。
• 美國政府及盟國的網路安全機構已針對北韓國家支持的、透過開源軟體供應鏈入侵進行加密貨幣盜竊的行為，發出日益嚴厲的警告 。（根據 TRM Labs 的報告，北韓在 2026 年竊取了所有加密貨幣駭客攻擊價值總額的 76%，但該數字並非僅來自這些 npm 攻擊）。

根據現有資訊，並未發現北韓政府針對 Sapphire Sleet 或 NullReceiver 的指控發出任何明確的公開否認聲明。北韓通常會透過標準外交管道否認所有國家支持的網路攻擊指控，但在這份證據集中，並未找到對這些特定行動的直接否認。

這對開發者與安全團隊意味著什麼

現在已有數十個惡意套件使用社交工程、AI 生成程式碼和區塊鏈 C2 技術。傳統的靜態分析和域名封鎖無法阻止 NullReceiver，因為惡意軟體程式碼本身從未出現可疑的域名或 IP。多個來源提出的安全建議 ：

• 維護軟體物料清單 (SBOM) 並監控相依性是否有非預期的變更。
• 使用隔離期（拒絕安裝過去 24-72 小時內發布的任何套件版本）以減緩快速投毒攻擊。
• 如可行，停用生命週期腳本，並確定性地安裝套件版本。
• 將可疑的相依性入侵視為更廣泛的憑證與環境風險——輪換機密、隔離受影響系統，並監控後續活動。