Amazon quy kết vụ npm hijack debug và chalk cho nhóm Sapphire Sleet của Triều Tiên
"Amazon Threat Intelligence attributed the September 2025 npm hijacks of debug and chalk, and related package activity including typo-crypto, to North Korea’s Sapphire Sleet with medium confidence. The incidents involved supply-chain compromise of maintainer accounts and malicious JavaScript that intercepted browser wallet and transaction APIs; no new compromise was reported, and npm later added malware scanning for new publishes and disabled lifecycle scripts by default in v12."
Tác động đáng kể do supply-chain compromise và khả năng can thiệp giao dịch phía trình duyệt; điểm rủi ro chính gồm xâm nhập maintainer, mã độc trong gói npm, và cơ chế intercept ví/giao dịch.
Có thể gây gián đoạn niềm tin và rủi ro tài chính cho các tổ chức dùng chuỗi phụ thuộc npm; cần ưu tiên rà soát gói bị ảnh hưởng, kiểm tra pipeline CI/CD và giám sát thay đổi maintainer.
Amazon Threat Intelligence cho biết vụ npm hijack nhắm vào các gói debug và chalk (tháng 9/2025) có liên quan đến Triều Tiên, gán cho nhóm Sapphire Sleet với mức medium confidence. Theo mô tả, kẻ tấn công đã xâm nhập tài khoản maintainer thông qua kỹ thuật giả mạo domain npm, sau đó phát hành mã độc vào nhiều gói. Amazon ghi nhận hoạt động liên quan kéo dài trong khoảng 12 tháng, với ít nhất 18 gói và tổng lượt tải vượt 2 tỷ/tuần.
Bài viết cũng nhắc đến gói typo-crypto (tháng 3/2025) có file bị trojan hóa, có cơ chế kích hoạt theo điều kiện; trong khi đó, với debug/chalk, cơ chế được mô tả là interceptor phía trình duyệt can thiệp fetch/XHR và API ví để thay đổi địa chỉ giao dịch trước khi người dùng ký. Amazon cho biết không phát hiện thêm xâm nhập mới; phạm vi phản ứng phù hợp với cơ chế đã công bố, chỉ thay đổi phần quy kết.
Về phòng ngừa, npm đã phát hành v12 (8/7) với dependency lifecycle scripts tắt mặc định và từ 28/7 bắt đầu quét mã độc cho gói mới trước khi trở nên cài đặt được. Tuy nhiên, các điểm vào kiểu maintainer vẫn cần được kiểm soát bằng quản trị quyền, xác thực và giám sát thay đổi gói.