Les campagnes PromptMink et Mastra de la Corée du Nord montrent comment les agents de codage IA sont devenus le nouveau front des attaques de la chaîne d'approvisionnement crypto, volant des portefeuilles via des dépendances npm empoisonnées.
Les attaques de la chaîne d'approvisionnement crypto entrent désormais dans l'ère des codeurs IA
Le 28 février 2026, une soumission de code ordinaire a atterri dans un bot de trading Solana open-source appelé openpaw-graveyard. Elle a ajouté une seule dépendance, @solana-launchpad/sdk. Le commit a été co-signé par Claude Opus d'Anthropic. La dépendance semblait propre — README soigné, types TypeScript corrects, fonctionnalité Solana réelle. Elle a également tiré silencieusement @validate-sdk/v2, un voleur d'identifiants nord-coréen qui a offert à ses opérateurs un chemin vers les portefeuilles et les fonds du projet. L'attaque de la chaîne d'approvisionnement crypto est entrée dans son ère IA, et presque personne ne défend la bonne couche.
ReversingLabs, le cabinet de renseignement sur les menaces qui a découvert la campagne et l'a nommée PromptMink, a résumé la situation en une phrase : les paquets malveillants ont « été plus efficaces pour tromper les agents de codage LLM que les humains afin qu'ils les utilisent ». Cette phrase devrait terrifier quiconque travaille actuellement dans la crypto.
Voici l'argument que je souhaite avancer, et il est délibérément inconfortable : la crypto a passé une décennie et des centaines de millions de dollars à auditer la blockchain — contrats intelligents, logique de consensus, multisignatures — tandis que l'argent est désormais volé une couche plus haut, au clavier du développeur, par des logiciels malveillants livrés directement par l'assistant IA du développeur lui-même. Nous avons défendu le coffre-fort pendant que les voleurs apprenaient à crocheter la serrure de la pièce où se trouve le coffre.
Points clés
- ReversingLabs a divulgué PromptMink le 29 avril 2026 : le groupe nord-coréen Famous Chollima a utilisé un assistant de codage IA pour intégrer une dépendance npm volant des portefeuilles dans un agent de trading autonome en production.
- Ce n'est pas isolé — l'attaque de Mastra en juin 2026 (Sapphire Sleet) a compromis plus de 140 packages de frameworks IA en 88 minutes, et la première moitié de 2026 a produit 497 packages malveillants, soit environ 4,5 fois le volume de packages de l'ensemble de l'année 2025.
- L'argent ne circule plus via des exploits de contrats intelligents ; il est volé au poste de travail du développeur, par la chaîne d'approvisionnement logicielle.
- La course de l'industrie vers des agents IA autonomes détenant des clés privées construit exactement la cible que la Corée du Nord sait déjà comment vider.
Pourquoi l'attaque a-t-elle été déplacée hors chaîne ?
PromptMink est un cours magistral sur le ciblage du fossé entre l'humain et la machine. Le célèbre Chollima (également suivi sous le nom de Shifty Corsair, et chevauchant les clusters BlueNoroff et Sapphire Sleet) a conçu une architecture de packages à deux couches. La première couche est l'appât — des packages comme @solana-launchpad/sdk, @meme-sdk/trade et @validate-ethereum-address/core qui livrent une fonctionnalité Web3 authentique et utile, sans aucun code malveillant. La deuxième couche est la charge utile jetable — @validate-sdk/v2 et ses frères — qui effectuent le vol réel et peuvent être remplacées en quelques heures dès qu'un registre en supprime un.
Ce qui devrait glacer le sang de l'industrie, c'est la manière dont l'appât a été ajusté. ReversingLabs qualifie la technique d'« abus d'optimisation par LLM (LLMO) » : les packages ont été conçus avec des README longs et bien formatés, ainsi qu'une documentation soignée, afin de sembler être la réponse idéale à n'importe quelle tâche confiée à un agent de codage IA. Le code lui-même a été « vibe-coded » — généré par un LLM — laissant des artefacts résiduels tels qu'un commentaire demandant « obfusquer le README ? » dans les fichiers de production. Un développeur humain aurait remarqué un package avec douze téléchargements publié la semaine dernière. L'agent n'a vu que la pertinence sémantique et la qualité de la documentation.
Ensuite, les charges utiles ont augmenté. Les premières versions étaient de simples infostealers JavaScript qui balayaient les fichiers .env et .json. Les variantes ultérieures sont devenues des binaires Node.js mono-exécutable de 80-megabyte, puis des modules Rust compilés qui plantaient des clés SSH d'attaquants pour la persistance et exfiltraient l'ensemble des arbres de code source. Au cours d'environ sept mois, la campagne a publié plus de 60 paquets uniques couvrant plus de 300 versions. La recherche indépendante d'Expel a lié environ $12 million de vol de cryptomonnaies confirmé à l'opération en Q1 2026 uniquement.
Qui gagne quand l'IA choisit vos dépendances ?
Il ne s'agit pas d'un incident isolé. C'est une campagne documentée. En avril 2026, un attaquant du même écosystème a compromis le client HTTP Axios — l'une des bibliothèques JavaScript les plus téléchargées au monde — et, par son intermédiaire, le flux de signature des applications macOS chez OpenAI, forçant la révocation des certificats de signature de code pour ChatGPT Desktop, Codex et Atlas. En juin 2026, Sapphire Sleet a détourné le compte npm inactif « ehindero », un ancien contributeur de Mastra dont les droits de publication n'avaient jamais été révoqués, et a republié plus de 140 packages dans le cadre du framework d'agents IA @mastra en l'espace de 88 minutes. La charge utile empoisonnée, un typosquat de la bibliothèque omniprésente dayjs appelée easy-day-js, a déclenché un programme d'installation postinstall qui a ciblé 166 extensions de navigateur de portefeuilles de cryptomonnaies sur Windows, macOS et Linux.
Unit 42 de Palo Alto a quantifié cette tendance : le premier semestre 2026 a connu 37 campagnes et 497 packages malveillants ciblant les outils d'agents IA — soit environ 2,6 fois plus de campagnes et 4,5 fois plus de volume de packages que l'ensemble de l'année 2025. Socket a lié plus de 1 700 packages malveillants à cette activité sur npm, PyPI, Go, Rust et Packagist depuis janvier 2025.
Qui perd est évident : chaque équipe qui « code par vibe » un agent de production contre des dépendances non vérifiées, chaque développeur solo dont l’ordinateur portable lance npm install en mode automatique, et chaque protocole qui déploie une fonctionnalité « agent autonome » avec un accès par touche de raccourci. Qui gagne est tout aussi clair : les éditeurs de solutions de sécurité qui traitent les agents de codage par IA comme une surface d’attaque plutôt que comme une couche de vérification — ReversingLabs, Socket, Snyk, Sonatype — et les registres qui sont enfin contraints à l’attestation de provenance, à l’expiration des publications délimitée, et à l’authentification à deux facteurs obligatoire.
Cela s’est-il déjà produit auparavant ?
Oui — mais jamais à cette vitesse ni avec cette asymétrie. La porte dérobée du flux d'événements en 2018 et les compromissions de coa/rc et ua-parser-js en 2021 ont prouvé que la chaîne d'approvisionnement npm était fragile. La campagne Contagious Interview de la Corée du Nord a passé des années à attirer les développeurs de crypto-monnaies par le biais de faux entretiens d'embauche et d'évaluations de codage trojanisées. Ce qui a changé en 2026, c'est la suppression du goulot d'étranglement humain. L'attaquant n'a plus besoin de tromper un développeur pour qu'il installe le mauvais élément ; il trompe l'heuristique de sélection de paquets du modèle, et le développeur fusionne le résultat en tant que commit « co-écrit » qui porte un sceau de provenance IA que de nombreux réviseurs font maintenant confiance de manière réflexive.
C'est du poison SEO pour le code — le même jeu de tactiques que les gens utilisent pour manipuler les résultats de Google, appliqué à la résolution des dépendances. Et il a un frère que l'industrie parle à peine : le « slopsquatting », où un agent IA hallucine un nom de paquet plausible lors de la génération, et les attaquants enregistrent ce nom exact plus tard afin que le prochain agent qui « complète » la même tâche tire le piège. La vulnérabilité ne réside pas dans le modèle. Elle réside dans un pipeline qui donne à un agent l'autorité d'ajouter des dépendances et d'exécuter des scripts d'installation sans réputation préalable ni filtre de malwares.
Où cela va-t-il en une à trois ans ?
La première vague de défense sera ennuyeuse et principalement efficace : autorisation par paquet, application du fichier de verrouillage et de la provenance, installations en bac à sable, traitement des hooks post-installation comme non fiables par défaut, et flux de renseignement sur les menaces intégrés au contexte de l'agent de codage. La deuxième vague est là où les choses se corsent. Les attaquants suivront la confiance en amont — dans les poids des modèles, les données de réglage fin et les serveurs MCP, le tissu conjonctif de l'économie des agents. Le groupe de renseignement sur les menaces de Google a déjà documenté la première exploitation zero-day générée par l'IA utilisée dans la nature en 2026. La Corée du Nord ne va pas s'arrêter ; le vol de crypto est une ligne de revenus de l'État.
Ma prédiction : dans les trois ans à venir, « qui a écrit le code et ce qu’il importe » deviendra la véritable question de sécurité, et « le code est la loi » cessera d’être une posture. Les agents autonomes qui manipulent des fonds seront traités comme des utilisateurs privilégiés soumis à un examen selon le principe du moindre privilège, et une norme d’attestation de la chaîne d’approvisionnement — l’équivalent crypto du SOC 2 — deviendra une exigence minimale pour tout ce qui détient une clé. Les projets qui survivront sont ceux qui traiteront leur graphe de dépendances avec la même paranoïa qu’ils réservaient autrefois à leurs contrats intelligents.
Que signifie cela pour les traders ?
Pas le prix — le risque. La leçon stratégique est une réorganisation des priorités quant à l’endroit où votre capital est réellement exposé. Si vous utilisez ou dépendez de bots et d’agents qui manipulent des clés, posez la question inconfortable : qui ou quoi a ajouté leurs dépendances, et cet agent peut-il introduire un nouveau package sans validation humaine ? Examinez tout protocole qui déploie une fonctionnalité d’agent autonome avec une garde de clés en ligne — l’ampleur des dégâts potentiels est nouvelle, importante et presque certainement sous-évaluée.
Les mesures concrètes ne coûtent rien et s’accumulent : verrouillez les dépendances, validez les fichiers lock, activez la provenance des packages, considérez les hooks postinstall comme non fiables, passez en revue chaque commit rédigé par une IA qui modifie package.json, et faites tourner les fichiers .env, les clés SSH et les jetons API sur toute machine ayant exécuté npm install pendant une période de compromission connue. L’avantage concurrentiel sur ce marché pour les dix-huit prochains mois n’est pas un token. C’est encore et toujours d’avoir vos clés à la fin.
La chose la plus dangereuse dans la crypto en 2026 n'est pas un bug de contrat intelligent — c'est un développeur qui fait confiance à son IA pour choisir une « bibliothèque de validation ». La Corée du Nord n'a pas vaincu la blockchain ; elle a vaincu la personne assise devant, en empruntant son propre outil de productivité pour faire le sale boulot. Alors voici la question que je ne peux pas écarter : nous nous obsédons à savoir si le code est audité, mais qui audite les dépendances de l'auditeur ? Lorsque votre agent de trading autonome a l'autorisation de signature et un historique de commits co-rédigé par Claude, l'attaque n'a jamais besoin de toucher à la chaîne. Elle a juste besoin de npm install.
FAQ
Qu'est-ce que PromptMink ? PromptMink est une campagne de chaîne d'approvisionnement nord-coréenne nommée par ReversingLabs en avril 2026. Elle a utilisé des paquets npm à deux couches — un paquet « appât » propre comme @solana-launchpad/sdk qui a silencieusement extrait une charge utile malveillante de deuxième couche, @validate-sdk/v2, qui a exfiltré les identifiants de portefeuille, les clés SSH et le code source.
Anthropic ou Claude ont-ils réellement créé des logiciels malveillants ? Non. Le modèle n’a pas écrit de code malveillant ; il a accepté une dépendance au look plausible pour une tâche de codage. L’échec provenait de la configuration du pipeline : un agent disposant de l’autorisation d’ajouter des dépendances et d’exécuter des scripts d’installation, sans contrôle préalable de malware ni de réputation avant la fusion.
Qu’était l’attaque Mastra ? Le 17 juin 2026, la menace Sapphire Sleet de la Corée du Nord a détourné le compte npm inactif « ehindero » et a republié plus de 140 packages dans le framework d’agents IA @mastra en 88 minutes. Chacun comportait une dépendance de typosquat, easy-day-js, avec un dropper postinstall ciblant 166 extensions de portefeuilles de cryptomonnaies.
Comment savoir si j'ai été affecté ? Vérifiez vos fichiers lock pour les noms de packages signalés (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js), exécutez un analyseur de dépendances axé sur les logiciels malveillants, et faites tourner les valeurs .env, les clés SSH et les jetons API sur toute machine ayant exécuté npm install pendant les fenêtres de compromission.
Pourquoi les agents crypto autonomes sont-ils la cible privilégiée ? Ils se trouvent directement à côté des clés privées, des jetons API et des identifiants cloud. Unit 42 a suivi 37 campagnes et 497 packages malveillants ciblant les outils d'agent IA au premier semestre 2026 — la surface d'attaque la plus précieuse et la moins coûteuse en termes d'effort dans l'écosystème aujourd'hui.
Sources pour en savoir plus : ReversingLabs — Claude ajoute des logiciels malveillants à un agent crypto (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Compromission de la chaîne d'approvisionnement npm de Mastra (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), et Cloud Security Alliance — Note de recherche sur PromptMink (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain).