Die PromptMink- und Mastra-Kampagnen Nordkoreas zeigen, wie KI-Coding-Agenten zur neuen Front bei Krypto-Lieferkettenangriffen wurden und Wallets durch vergiftete npm-Abhängigkeiten stehlen.
Krypto-Supply-Chain-Angriffe reiten jetzt auf KI-Codeentwicklern ein
Am 28. Februar 2026 landete ein Routine-Code-Commit in einem Open-Source-Solana-Handelsbot namens openpaw-graveyard. Es fügte eine einzige Abhängigkeit hinzu, @solana-launchpad/sdk. Der Commit wurde gemeinsam von Anthropics Claude Opus verfasst. Die Abhängigkeit sah sauber aus – poliertes README, korrekte TypeScript-Typen, echte Solana-Funktionalität. Sie zog jedoch still @validate-sdk/v2 nach, einen nordkoreanischen Anmeldeinformations-Stehler, der seinen Betreibern einen Pfad zu den Wallets und Geldern des Projekts verschaffte. Der Krypto-Supply-Chain-Angriff ist in seine KI-Ära eingetreten, und fast niemand verteidigt die richtige Schicht.
ReversingLabs, die Threat-Intelligence-Firma, die die Kampagne aufdeckte und sie PromptMink nannte, brachte die Wendung in einem Satz auf den Punkt: Die bösartigen Pakete waren „erfolgreicher darin, LLM-Coding-Agents als Menschen zu überreden, sie zu verwenden.“ Dieser Satz sollte jeden, der derzeit im Krypto-Bereich arbeitet, in Angst und Bann versetzen.
Hier ist die These, die ich aufstellen möchte, und sie ist bewusst unbequem: Krypto hat ein Jahrzehnt und hunderte Millionen Dollar damit verbracht, die Blockchain zu auditieren – Smart Contracts, Konsenslogik, Multisignaturen –, während das eigentliche Geld jetzt eine Schicht darüber gestohlen wird, direkt an der Tastatur des Entwicklers, durch Malware, die dem Entwickler von dessen eigenem KI-Assistenten persönlich überreicht wurde. Wir haben den Tresor verteidigt, während die Räuber gelernt haben, das Schloss des Raums zu knacken, in dem der Tresor steht.
Wesentliche Erkenntnisse
- ReversingLabs hat PromptMink am 29. April 2026 bekannt gegeben: Die nordkoreanische Gruppe Famous Chollima nutzte einen KI-Code-Assistenten, um eine wallet-Diebstahl verursachende npm-Abhängigkeit in einen live betriebenen autonomen Handelsagenten einzuschleusen.
- Es ist nicht isoliert — der Mastra-Angriff im Juni 2026 (Sapphire Sleet) vergiftete 140+ KI-Framework-Pakete in 88 Minuten, und das erste Halbjahr 2026 produzierte 497 bösartige Pakete, etwa 4,5x das Paktvolumen des gesamten Jahres 2025.
- Das Geld fließt nicht mehr durch Smart-Contract-Schwachstellen; es wird am Arbeitsplatz des Entwicklers gestohlen, über die Software-Lieferkette.
- Der Wettlauf der Branche zu autonomen KI-Agenten, die private Schlüssel halten, schafft genau das Ziel, das Nordkorea bereits kennt, um es zu entwenden.
Warum wurde der Angriff Off-Chain verlagert?
PromptMink ist ein Meisterwerk darin, die Lücke zwischen Mensch und Maschine zu nutzen. Der bekannte Chollima (auch als Shifty Corsair bekannt und überschneidet sich mit den Clustern BlueNoroff und Sapphire Sleet) entwickelte eine Zwei-Schicht-Paketarchitektur. Die erste Schicht ist der Köder – Pakete wie @solana-launchpad/sdk, @meme-sdk/trade und @validate-ethereum-address/core, die echte, nützliche Web3-Funktionalität liefern und überhaupt keinen schädlichen Code enthalten. Die zweite Schicht ist die wegwerfbare Payload – @validate-sdk/v2 und seine Geschwister – die den eigentlichen Diebstahl durchführen und innerhalb von Stunden ausgetauscht werden können, sobald ein Registry eines davon entfernt.
Der Teil, der dem Branchenblut das Gerinnen lassen sollte, ist, wie der Köder abgestimmt wurde. ReversingLabs bezeichnet die Technik als "Missbrauch von LLM-Optimierung (LLMO)": Die Pakete wurden mit langen, gut formatierten READMEs und polierter Dokumentation so gestaltet, dass sie als ideale Antwort auf jede Aufgabe gelesen werden können, die einem KI-Coding-Agenten zugewiesen wurde. Der Code selbst wurde "vibe-coded" – mit einem LLM generiert – und hinterließ verstreute Artefakte wie einen Kommentar, der fragte: "README verschleiern?", der in Produktionsdateien zu finden war. Ein menschlicher Entwickler hätte ein Paket mit zwölf Downloads, das letzte Woche veröffentlicht wurde, bemerkt. Der Agent sah nur semantische Passform und Dokumentationsqualität.
Dann eskalierten die Payloads. Frühe Versionen waren einfache JavaScript-Infostealer, die .env- und .json-Dateien ausspülten. Spätere Varianten wuchsen zu 80-Megabyte-Node.js-Einzel ausführbaren Binärdateien heran, dann zu kompilierten Rust-Add-ons, die Angreifer-SSH-Schlüssel für Persistenz einpflanzten und gesamte Quellcode-Bäume exfiltrierten. Im Laufe von etwa sieben Monaten veröffentlichte die Kampagne mehr als 60 eindeutige Pakete über 300 Versionen hinweg. Die unabhängige Forschung von Expel ordnete allein im Q1 2026 etwa 12 Millionen US-Dollar an bestätigtem Kryptowährungs-Diebstahl der Operation zu.
Wer gewinnt, wenn KI Ihre Abhängigkeiten auswählt?
Dies ist kein einzelner Vorfall. Es handelt sich um eine dokumentierte Kampagne. Im April 2026 kompromittierte ein Angreifer in derselben Orbit den Axios-HTTP-Client – eine der am häufigsten heruntergeladenen JavaScript-Bibliotheken der Welt – und damit den macOS-App-Signierungs-Workflow bei OpenAI, was zur Widerrufung der Code-Signing-Zertifikate für ChatGPT Desktop, Codex und Atlas führte. Im Juni 2026 übernahm Sapphire Sleet das inaktive npm-Konto „ehindero“, einen ehemaligen Mastra-Beitragenden, dessen Veröffentlichungsrechte nie widerrufen worden waren, und veröffentlichte innerhalb von 88 Minuten mehr als 140 Pakete über das @mastra AI-Agenten-Framework neu. Die vergiftete Nutzlast, ein Typosquat der allgegenwärtigen dayjs-Bibliothek namens easy-day-js, löste einen postinstall-Dropper aus, der 166 Kryptowährungs-Wallet-Browser-Erweiterungen unter Windows, macOS und Linux zum Ziel hatte.
Unit 42 von Palo Alto hat diese Entwicklung quantifiziert: In der ersten Hälfte des Jahres 2026 wurden 37 Kampagnen und 497 schädliche Pakete registriert, die sich gegen KI-Agenten-Tools richteten – das entspricht etwa dem 2,6-fachen der Kampagnen und dem 4,5-fachen des Paketvolumens im gesamten Jahr 2025. Socket hat seit Januar 2025 mehr als 1.700 schädliche Pakete mit diesen Aktivitäten in Verbindung gebracht, verteilt auf npm, PyPI, Go, Rust und Packagist.
Wer verliert, ist offensichtlich: jedes Team, das einen Produktions-Agenten durch „Vibe Coding“ gegen nicht geprüfte Abhängigkeiten erstellt, jeder einzelne Entwickler, dessen Laptop `npm install` im Autopiloten ausführt, und jedes Protokoll, das eine „autonome Agent“-Funktion mit Hotkey-Zugriff bereitstellt. Wer gewinnt, ist ebenso klar: die Sicherheitsanbieter, die KI-Coding-Agenten als Angriffsfläche und nicht als Verifikationsschicht betrachten – ReversingLabs, Socket, Snyk, Sonatype – und die Registrierungsstellen, die endlich zur Provenienzattestierung, zur begrenzten Veröffentlichungsablaufzeit und zur zwingenden Zwei-Faktor-Authentifizierung gezwungen werden.
Hat sich das schon einmal ereignet?
Ja – aber nie mit dieser Geschwindigkeit oder dieser Asymmetrie. Der Event-Stream-Backdoor im Jahr 2018 und die Kompromittierungen von coa/rc und ua-parser-js im Jahr 2021 haben bewiesen, dass die npm-Lieferkette anfällig war. Nordkoreas Kampagne „Contagious Interview“ hat jahrelang Krypto-Entwickler durch gefälschte Vorstellungsgespräche und trojanisierte Coding-Assessments angelockt. Was sich 2026 geändert hat, ist die Beseitigung des menschlichen Engpasses. Der Angreifer muss keinen Entwickler mehr dazu bringen, das Falsche zu installieren; er täuscht die Paketauswahl-Heuristik des Modells, und der Entwickler führt das Ergebnis als „mitverfassten“ Commit zusammen, der einen AI-Provenienz-Stempel trägt, dem viele Reviewer inzwischen reflexartig vertrauen.
Es ist SEO-Poisoning für Code – dieselbe Taktik, mit der Menschen Google-Ergebnisse manipulieren, angewendet auf die Abhängigkeitsauflösung. Und es hat ein Geschwister, über das die Branche kaum spricht: „Slopsquatting“, bei dem ein KI-Agent während der Generierung einen plausiblen Paketnamen halluziniert und Angreifer diesen exakten Namen später registrieren, sodass der nächste Agent, der dieselbe Aufgabe „vervollständigt“, die Falle herunterlädt. Die Schwachstelle liegt nicht im Modell. Sie liegt in einer Pipeline, die einem Agenten die Befugnis gibt, Abhängigkeiten hinzuzufügen und Installationsskripte ohne Pre-Merge-Reputation oder Malware-Gate auszuführen.
Wohin führt das in ein bis drei Jahren?
Die erste Welle der Abwehr wird langweilig und größtenteils effektiv sein: Paketautorisierung, Durchsetzung von Lockfiles und Herkunftsnachweisen, sandgeboxte Installationen, die Standardbehandlung von Postinstall-Hooks als nicht vertrauenswürdig sowie Bedrohungsdatenfeeds, die in den Kontext des Coding-Agents integriert werden. Die zweite Welle wird unangenehm. Angreifer werden dem Vertrauen stromaufwärts folgen – in die Modellgewichte, die Daten für das Fine-Tuning und MCP-Server, das Bindegewebe der Agenten-Ökonomie. Die Threat Intelligence Group von Google hat bereits den ersten in der Wildnis eingesetzten, von KI generierten Zero-Day-Exploit im Jahr 2026 dokumentiert. Nord Korea wird nicht aufhören; Kryptodiebstahl ist eine staatliche Einnahmequelle.
Meine Vorhersage: Innerhalb von drei Jahren wird „wer den Code geschrieben hat und was er einbindet“ zur eigentlichen Sicherheitsfrage, und „Code ist Gesetz“ stirbt als Haltung. Autonome Agenten, die mit Geldern interagieren, werden als privilegierte Benutzer behandelt, die einer Least-Privilege-Prüfung unterliegen, und ein Standard für die Bescheinigung der Lieferkette – das Krypto-Äquivalent zu SOC 2 – wird zur Grundvoraussetzung für alles, was einen Schlüssel verwahrt. Die Projekte, die überleben, sind diejenigen, die ihre Abhängigkeitsgraphen mit derselben Paranoia behandeln, die sie einst ihren Smart Contracts vorbehalten haben.
Was bedeutet das für Händler?
Nicht der Preis – das Risiko. Die strategische Kernaussage ist eine Neugewichtung dessen, wo Ihr Kapital tatsächlich exponiert ist. Wenn Sie Bots und Agenten betreiben oder sich auf diese verlassen, die auf Schlüssel zugreifen, stellen Sie die unbequeme Frage: Wer oder was hat seine Abhängigkeiten hinzugefügt, und kann dieser Agent ein neues Paket ohne menschliche Freigabe einführen? Prüfen Sie jedes Protokoll, das eine autonome-Agent-Funktion mit Hot-Key-Custody ausliefert – das Schadensausmaß ist neu, groß und fast sicher falsch bewertet.
Die konkreten Maßnahmen kosten nichts und summieren sich: Abhängigkeiten fixieren, Lockfiles committen, Paketprovenienz aktivieren, postinstall-Hooks als nicht vertrauenswürdig behandeln, jeden von AI verfassten Commit, der package.json berührt, überprüfen und .env-Dateien, SSH-Schlüssel und API-Tokens auf allen Maschinen rotieren, die während eines bekannten Kompromittierungszeitraums npm install ausgeführt haben. Der Alpha in diesem Markt für die nächsten achtzehn Monate ist kein Token. Es ist immer noch, Ihre Schlüssel am Ende von ihnen zu haben.
Das Gefährlichste in der Krypto-Welt im Jahr 2026 ist nicht ein Smart-Contract-Bug – es ist ein Entwickler, der seiner KI vertraut, eine "Validierungs-Bibliothek" auszuwählen. Nordkorea hat die Blockchain nicht besiegt; es hat die Person besiegt, die davor sitzt, und sich ihr eigenes Produktivitätstool zunutze gemacht, um die schmutzige Arbeit zu erledigen. Also hier ist die Frage, die ich nicht loswerde: Wir besessen darüber, ob Code auditiert wurde, aber wer auditet die Abhängigkeiten des Auditierenden? Wenn Ihr autonomer Handelsagent Unterschriftsbefugnis hat und eine Commit-Historie, die von Claude mitverfasst wurde, muss der Angriff die Chain überhaupt nicht berühren. Er braucht nur npm install.
FAQ
Was ist PromptMink? PromptMink ist eine nordkoreanische Supply-Chain-Kampagne, die im April 2026 von ReversingLabs benannt wurde. Sie nutzte zwei-schichtige npm-Pakete – ein sauberes "Köder"-Paket wie @solana-launchpad/sdk, das stillschweigend eine bösartige Payload der zweiten Schicht, @validate-sdk/v2, herunterlud, die Wallet-Anmeldeinformationen, SSH-Schlüssel und Quellcode extrahierte.
Hat Anthropic oder Claude tatsächlich Malware erstellt? Nein. Das Modell hat keinen bösartigen Code geschrieben; es hat eine plausibel aussehende Abhängigkeit für eine Coding-Aufgabe akzeptiert. Der Fehler lag in der Pipeline-Konfiguration — ein Agent mit der Berechtigung, Abhängigkeiten hinzuzufügen und Installations-Skripte auszuführen, ohne eine Malware- oder Reputationssperre vor dem Merge.
Was war der Mastra-Angriff? Am 17. Juni 2026 hat Nordkoreas Sapphire Sleet das inaktive npm-Konto „ehindero“ übernommen und über 140 Pakete im @mastra AI-Agent-Framework innerhalb von 88 Minuten erneut veröffentlicht. Jedes trug eine Typosquat-Abhängigkeit, easy-day-js, mit einem Postinstall-Dropper, der 166 Kryptowährungs-Wallet-Erweiterungen zielte.
Wie stelle ich fest, ob ich betroffen war? Überprüfen Sie Ihre Lockfiles auf die gekennzeichneten Paketnamen (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js), führen Sie einen auf Malware spezialisierten Abhängigkeits-Scanner aus und rotieren Sie .env-Werte, SSH-Schlüssel und API-Tokens auf jedem Computer, der während der Kompromittierungszeiträume npm install ausgeführt hat.
Warum sind autonome Krypto-Agenten das Hauptziel? Sie befinden sich in unmittelbarer Nähe zu privaten Schlüsseln, API-Tokens und Cloud-Anmeldedaten. Unit 42 hat in der ersten Hälfte des Jahres 2026 37 Kampagnen und 497 schädliche Pakete verfolgt, die auf KI-Agenten-Tools abzielten – die heute wertvollste und am einfachsten anzugreifende Angriffsfläche im Ökosystem.
Quellen für weiterführende Informationen: ReversingLabs — Claude fügt Malware in Crypto-Agent hinzu (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Mastra npm Supply-Chain-Kompromittierung (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), und Cloud Security Alliance — PromptMink-Forschungsnotiz (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain).