उत्तर कोरिया के PromptMink और Mastra अभियान दिखाते हैं कि एआई कोडिंग एजेंट्स क्रिप्टो सप्लाई चेन अटैक में नई जंग का नया मोर्चा कैसे बने, जिनमें विषाक्त npm निर्भरताओं के जरिए वॉलेट चुराए जा रहे हैं।
क्रिप्टो सप्लाई चेन अटैक अब AI कोडर्स के जरिए आ रहे हैं
28 फरवरी, 2026 को, एक ओपन-सोर्स सोलाना ट्रेडिंग बॉट 'openpaw-graveyard' में एक रूटीन कोड कमिट आया। इसने @solana-launchpad/sdk नामक एक सिंगल डिपेंडेंसी जोड़ी। यह कमिट एंथ्रोपिक के क्लॉड ओपस द्वारा सह-लेखित था। डिपेंडेंसी साफ-सुथरी लग रही थी — पॉलिश किए गए README, सही TypeScript टाइप्स, असली सोलाना फंक्शनलिटी। इसने चुपचाप @validate-sdk/v2 को भी खींचा, जो एक उत्तर कोरियाई क्रेडेंशियल स्टीलर था, जिसने अपने ऑपरेटरों को प्रोजेक्ट के वॉलेट्स और फंड्स तक पहुंच का रास्ता दिया। क्रिप्टो सप्लाई चेन अटैक अब अपने AI युग में प्रवेश कर चुका है, और लगभग कोई भी सही लेयर की रक्षा नहीं कर रहा है।
ReversingLabs, वह threat-intelligence फर्म जिसने इस अभियान को उजागर किया और इसे PromptMink नाम दिया, ने इस मुद्दे को एक पंक्ति में इस प्रकार व्यक्त किया: malicious packages "LLM coding agents को इस्तेमाल करने के लिए इंसानों की तुलना में ज्यादा सफल रहे।" यह वाक्य अभी क्रिप्टो में काम कर रहे किसी भी व्यक्ति के लिए भयानक होना चाहिए।
यहाँ वह तर्क है जो मैं करना चाहता हूँ, और यह जानबूझकर असहज है: क्रिप्टो ने पिछले दशक में और सैकड़ों मिलियन डॉलर खर्च करके blockchain का audit किया है — smart contracts, consensus logic, multisigs — जबकि असली पैसा अब एक लेयर ऊपर, डेवलपर के keyboard पर, उस malware द्वारा चोरी जा रहा है जो डेवलपर के अपने AI assistant ने खुद पहुँचाया है। हम vault की रक्षा कर रहे हैं, जबकि चोर उस कमरे के ताले को खोलना सीख रहे हैं जिसमें vault रखा है।
मुख्य बिंदु
- ReversingLabs ने 29 अप्रैल 2026 को PromptMink का खुलासा किया: उत्तर कोरिया का समूह Famous Chollima ने एक AI कोडिंग सहायक का उपयोग करके एक लाइव स्वचालित ट्रेडिंग एजेंट में वॉलेट चोरी करने वाला npm निर्भरता स्थापित की।
- यह अलग नहीं है — जून 2026 में मास्ट्रा हमला (साफ़ायर स्लीट) ने 88 मिनट में 140+ AI-फ्रेमवर्क पैकेजों को दूषित किया, और 2026 की पहली छमाही में 497 दुर्भावनापूर्ण पैकेज बने, जो 2025 के सभी पैकेजों के आयतन का लगभग 4.5 गुना है।
- पैसा अब स्मार्ट-कॉन्ट्रैक्ट दोषों के माध्यम से नहीं चलता; यह डेवलपर के वर्कस्टेशन से, सॉफ़्टवेयर सप्लाई चेन के माध्यम से चुराया जाता है।
- निवेशकों के लिए स्वचालित एआई एजेंट्स की ओर उद्योग की दौड़, जो निजी कुंजियों को संभालते हैं, ठीक उसी लक्ष्य को बना रही है जिसे उत्तर कोरिया पहले से ही ड्रेन करने का तरीका जानती है।
हमला ऑफ-चेन पर क्यों स्थानांतरित हुआ?
PromptMink मानव-और-मशीन अंतर को लक्षित करने में एक मास्टरक्लास है। प्रसिद्ध Chollima (जिसे Shifty Corsair के रूप में भी ट्रैक किया जाता है, और BlueNoroff और Sapphire Sleet क्लस्टर के साथ ओवरलैप करता है) ने दो-स्तरीय पैकेज आर्किटेक्चर बनाया। पहली परत भ्रम है — @solana-launchpad/sdk, @meme-sdk/trade, और @validate-ethereum-address/core जैसे पैकेज जो वास्तविक, उपयोगी Web3 कार्यक्षमता प्रदान करते हैं और बिल्कुल भी दुर्भावनापूर्ण कोड नहीं। दूसरी परत अस्थायी पेलोड है — @validate-sdk/v2 और इसके भाई-बहन — जो वास्तविक चोरी करते हैं और जब कोई रजिस्ट्री एक को नीचे लाता है तो घंटों के भीतर बदला जा सकता है।
वह हिस्सा जो उद्योग के खून को ठंडा कर देना चाहिए, वह है कि भ्रम को कैसे ट्यून किया गया था। ReversingLabs इस तकनीक को "LLM Optimization (LLMO) दुरुपयोग" कहता है: पैकेजों को लंबे, अच्छी तरह से प्रारूपित READMEs और परिष्कृत दस्तावेज़ीकरण के साथ इंजीनियर किया गया था ताकि वे किसी भी कार्य के लिए AI कोडिंग एजेंट को सौंपे गए आदर्श उत्तर के रूप में पढ़े जा सकें। कोड स्वयं "vibe-coded" था — एक LLM के साथ उत्पन्न — जिससे उत्पादन फ़ाइलों में "README को ओबफ़स्केट करें?" जैसे प्रश्न वाले टिप्पणी जैसे अवशेष छोड़ दिए गए। एक मानव डेवलपर पिछले सप्ताह प्रकाशित होने वाले बारह डाउनलोड वाले पैकेज को नोटिस करता। एजेंट ने केवल सेमांटिक फिट और दस्तावेज़ीकरण गुणवत्ता देखी।
फिर इनके पैलोट बढ़ गए। शुरुआती संस्करण साधारण JavaScript infostealers थे जो .env और .json फ़ाइलों को साफ़ कर लेते थे। बाद के संस्करण 80-megabyte Node.js single-executable binaries में बदल गए, फिर compiled Rust add-ons बन गए जो attacker SSH keys स्थापित करते थे persist के लिए और पूरे source trees को चुराते थे। लगभग सात महीने के दौरान, इस अभियान ने 300 से अधिक versions में 60 से अधिक unique packages जारी किए। Expel की स्वतंत्र research ने Q1 2026 में ही operation से जुड़े $12 million के confirmed cryptocurrency theft को जोड़ा है।
जब AI आपके निर्भरताओं को चुनता है, तो कौन जीतता है?
यह कोई एकल घटना नहीं है। यह एक दस्तावेज़ीकृत अभियान है। अप्रैल 2026 में, एक ही परिक्रमा में मौजूद हमलावर ने Axios HTTP क्लाइंट को संक्रमित किया — जो पृथ्वी पर सबसे अधिक डाउनलोड किए जाने वाले जावास्क्रिप्ट लाइब्रेरीज़ में से एक है — और इसके माध्यम से OpenAI में macOS ऐप-हस्ताक्षर कार्यप्रवाह को प्रभावित किया, जिससे ChatGPT Desktop, Codex और Atlas के लिए कोड-हस्ताक्षर प्रमाणपत्रों को रद्द करने पर मजबूर होना पड़ा। जून 2026 में, Sapphire Sleet ने निष्क्रिय npm खाता "ehindero" को हड़प लिया, जो एक पूर्व Mastra योगदानकर्ता था जिसके प्रकाशन अधिकार कभी रद्द नहीं किए गए थे, और 88 मिनट की अवधि में @mastra AI-एजेंट फ्रेमवर्क के across 140 से अधिक पैकेजों को पुनः प्रकाशित किया। विषाक्त पैलोड, एक व्यापक dayjs लाइब्रेरी का टाइपोस्क्वैट जो easy-day-js कहलाता है, ने एक postinstall ड्रॉपर को सक्रिय किया जिसने Windows, macOS और Linux पर 166 क्रिप्टोकरेंसी वॉलेट ब्राउज़र एक्सटेंशन को निशाना बनाया।
Palo Alto की Unit 42 ने इस रुझान को एक संख्या दी: 2026 के पहले छह महीनों में AI-एजेंट टूलिंग को निशाना बनाने वाले 37 अभियान और 497 दुर्भावनापूर्ण पैकेज देखे गए — जो 2025 के पूरे वर्ष के सभी अभियानों से लगभग 2.6 गुना और पैकेज मात्रा से 4.5 गुना अधिक है। Socket ने जनवरी 2025 से npm, PyPI, Go, Rust और Packagist पर इस गतिविधि से जुड़े 1,700 से अधिक दुर्भावनापूर्ण पैकेजों को जोड़ा है।
कौन हारता है, यह स्पष्ट है: हर टीम जो उत्पादन एजेंट के लिए 'वाइब कोडिंग' कर रही है, बिना जांचे निर्भरताओं के खिलाफ, हर अकेला डेवलपर जिसकी लैपटॉप ऑटोपाइल पर npm install चलाती है, और हर प्रोटोकॉल जो 'स्वतंत्र एजेंट' फीचर को हॉट-की एक्सेस के साथ लॉन्च कर रहा है। कौन जीतता है, यह उतना ही स्पष्ट है: सुरक्षा विक्रेता जो AI कोडिंग एजेंट्स को सत्यापन परत के बजाय हमले की सतह मानते हैं — ReversingLabs, Socket, Snyk, Sonatype — और रजिस्ट्री जो अंततः प्रमाणन, सीमित प्रकाशन समाप्ति और अनिवार्य दो-कारक प्रमाणीकरण में मजबूर हो जाती हैं।
क्या ऐसा पहले भी हुआ है?
हाँ — लेकिन कभी भी इस गति या इस असममितता के साथ नहीं। 2018 में event-stream बैकडोर और 2021 में coa/rc और ua-parser-js के कंप्रोमाइजमेंट ने साबित कर दिया कि npm सप्लाई चेन कमजोर है। उत्तर कोरिया की Contagious Interview अभियान ने सालों तक नकली जॉब इंटरव्यू और ट्रोजनाइज्ड कोडिंग असेसमेंट के माध्यम से क्रिप्टो डेवलपर्स को लुभाने में बिताए। 2026 में क्या बदलाव आया है, वह है मानव बाधा का हटाना। हमलावर को अब एक डेवलपर को गलत चीज़ इंस्टॉल करने के लिए धोखा देने की ज़रूरत नहीं है; वे मॉडल के पैकेज-चयन हेयुरिस्टिक्स को धोखा देते हैं, और डेवलपर परिणाम को एक "सह-लेखित" कमिट के रूप में मर्ज कर देते हैं जिसमें एक AI प्रोवेंन्स स्टैम्प होता है जिसे अब कई रिव्यूअर्स स्वचालित रूप से विश्वास करते हैं।
यह कोड के लिए SEO पोइज़निंग है — वही प्लेबुक जो लोग Google परिणामों को गेम करने के लिए उपयोग करते हैं, उसे डिपेंडेंसी रिज़ॉल्यूशन पर लागू किया गया है। और इसका एक भाई भी है जिसके बारे में उद्योग बहुत कम बात करता है: "स्लोप्स्क्वैटिंग," जहाँ एक AI एजेंट जनरेशन के दौरान एक संभावित पैकेज नाम का भ्रम उत्पन्न करता है, और हमलावर बाद में उसी नाम को रजिस्टर कर लेते हैं ताकि अगला एजेंट जो उसी कार्य को "पूरा" करता है, वह जाल खींचे। कमजोरी मॉडल में नहीं है। यह एक पाइपलाइन में है जो एक एजेंट को डिपेंडेंसीज़ जोड़ने और इंस्टॉल स्क्रिप्ट्स चलाने का अधिकार देती है, बिना किसी प्री-मर्ज रिपुटेशन या मैलवेयर गेट के।
एक से तीन साल में यह किस दिशा में जा रहा है?
डिफेंस की पहली लहर बोरिंग और ज्यादातर प्रभावी होगी: प्रति-पैकेज अधिकृति, लॉकफाइल और प्रूवेनेंस प्रवर्तन, सैंडबॉक्ड इंस्टॉल, पोस्टइंस्टॉल हुक्स को डिफ़ॉल्ट रूप से अविश्वसनीय मानना, और थ्रेट-इंटेल फ़ीड्स को कोडिंग एजेंट के संदर्भ में जोड़ना। दूसरी लहर में यह और खराब हो जाता है। हमलावर भरोसे को ऊपर की ओर फ़ॉलो करेंगे — मॉडल वेट्स, फाइन-ट्यूनिंग डेटा, और एमसीपी सर्वरों में, जो एजेंट अर्थव्यवस्था की कनेक्टिव टिशू हैं। गूगल की थ्रेट इंटेलिजेंस ग्रुप ने पहले से ही 2026 में वाइल्ड में उपयोग किए गए पहले एआई-जनरेटेड ज़ीरो-डे एक्सप्लॉइट को दस्तावेज़ित कर चुकी है। उत्तर कोरिया रुकने वाला नहीं है; क्रिप्टो चोरी एक राज्य राजस्व लाइन है।
मेरी भविष्यवाणी: तीन साल के भीतर, "कोड किसने लिखा और वह क्या इकट्ठा करता है" वास्तविक सुरक्षा प्रश्न बन जाएगा, और "कोड कानून है" एक रवैया के रूप में समाप्त हो जाएगा। फंड्स को छूने वाले स्वतंत्र एजेंटों को विशेषाधिकार प्राप्त उपयोगकर्ताओं के रूप में माना जाएगा, जो न्यूनतम-अधिकार समीक्षा के अधीन होंगे, और एक आपूर्ति श्रृंखला प्रमाणन मानक — जो कि SOC 2 का क्रिप्टो समकक्ष है — किसी भी चीज़ के लिए टेबल स्टैक बन जाएगा जो एक कुंजी को संभालता है। वे परियोजनाएं जो टिकती हैं, वे हैं जो अपने निर्भरता ग्राफ़ को उसी पराanoia के साथ संभालती हैं जो वे एक समय में अपने स्मार्ट कॉन्ट्रैक्ट्स के लिए आरक्षित रखती थीं।
ट्रेडर्स के लिए इसका क्या अर्थ है?
मूल्य नहीं — जोखिम। रणनीतिक निष्कर्ष यह है कि आपकी पूंजी वास्तव में कहाँ जोखिम में है, उसकी प्राथमिकताओं को फिर से व्यवस्थित करना। यदि आप ऐसे बॉट्स और एजेंट्स चलाते हैं या उन पर निर्भर हैं जो कुंजियों (keys) तक पहुँच रखते हैं, तो असुविधाजनक सवाल पूछें: किसने या क्या उनकी निर्भरताएँ (dependencies) जोड़ीं, और क्या वह एजेंट बिना किसी मानव की मंजूरी के एक नया पैकेज पेश कर सकता है? किसी भी प्रोटोकॉल की जाँच करें जो हॉट-की कस्टडी (hot-key custody) के साथ ऑटोनॉमस-एजेंट फीचर लॉन्च करता है — विस्फोट का क्षेत्र नया, बड़ा, और लगभग निश्चित रूप से गलत मूल्यांकित है।
ठोस कदमों की लागत शून्य है और वे संयोजी (compound) होते हैं: निर्भरताओं को पिन करें, लॉकफ़ाइलों को कमिट करें, पैकेज प्रोवेंन्स (provenance) सक्षम करें, postinstall हुक्स को अविश्वसनीय मानें, package.json को छूने वाले हर AI-द्वारा लिखे गए कमिट की समीक्षा करें, और किसी भी मशीन पर .env फ़ाइलों, SSH कुंजियों और API टोकन को घुमाएँ जिसने ज्ञात संक्रमण खिड़की के दौरान npm install चलाया हो। अगले अठारह महीनों के लिए इस बाज़ार में अल्फ़ा कोई टोकन नहीं है। यह अभी भी उन कुंजियों के अंत में आपके पास होना है।
2026 में क्रिप्टो में सबसे खतरनाक चीज़ स्मार्ट-कॉन्ट्रैक्ट में कोई बग नहीं है — यह एक डेवलपर का अपने AI पर भरोसा करना है ताकि वह एक "validation library" चुन सके। उत्तर कोरिया ने ब्लॉकचेन को हराया नहीं; उसने उसके सामने बैठे व्यक्ति को हराया, जो अपने ही उत्पादकता उपकरण का उपयोग करके गंदा काम करवा रहा था। तो यहाँ वह सवाल है जिससे मैं छुटकारा नहीं पा सकता: हम इस बात पर ध्यान केंद्रित करते हैं कि क्या कोड ऑडिट किया गया है, लेकिन ऑडिटर की निर्भरताओं (dependencies) का ऑडिट कौन कर रहा है? जब आपका स्वतंत्र ट्रेडिंग एजेंट के हस्ताक्षर का अधिकार और Claude द्वारा सह-लेखित कमीट इतिहास रखता है, तो हमला कभी भी चेन को छूने की जरूरत नहीं रखता। उसे बस npm install की जरूरत होती है।
FAQ
PromptMink क्या है? PromptMink एक उत्तर कोरियाई सप्लाई चेन अभियान है, जिसे ReversingLabs ने अप्रैल 2026 में नाम दिया था। इसने दो-स्तरीय npm पैकेजों का उपयोग किया — एक साफ़ "बेटा" पैकेज जैसे @solana-launchpad/sdk, जो चुपचाप एक दुष्ट दूसरी-स्तरीय पैलोड, @validate-sdk/v2, को खींचता था, जिसने वॉलेट क्रेडेंशियल्स, SSH कुंजियों और स्रोत कोड को बाहर निकाला।
क्या Anthropic या Claude ने वास्तव में मैलवेयर बनाया? नहीं। मॉडल ने दुर्भावनापूर्ण कोड नहीं लिखा था; उसने एक कोडिंग कार्य के लिए एक यथार्थवादी दिखने वाले निर्भरता (dependency) को स्वीकार किया। विफलता पाइपलाइन कॉन्फ़िगरेशन की थी — एक एजेंट के पास निर्भरताएँ जोड़ने और इंस्टॉल स्क्रिप्ट चलाने का अधिकार था, लेकिन कोई प्री-मर्ज मैलवेयर या प्रतिष्ठा गेट नहीं था।
Mastra हमला क्या था? 17 जून, 2026 को, उत्तर कोरिया का Sapphire Sleet निष्क्रिय npm खाता "ehindero" को हड़प कर @mastra AI-एजेंट फ्रेमवर्क में 88 मिनट के भीतर 140+ पैकेजों को पुनः प्रकाशित किया। प्रत्येक में एक टाइपोस्क्वैट निर्भरता, easy-day-js, थी, जिसमें एक postinstall ड्रॉपर था जो 166 क्रिप्टोकरेंसी वॉलेट एक्सटेंशन को निशाना बनाता था।
मुझे कैसे पता चलेगा कि मैं प्रभावित हुआ? अपने lockfiles में चिह्नित पैकेज नामों (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js) की जाँच करें, एक मैलवेयर-फोकस्ड डिपेंडेंसी स्कैनर चलाएँ, और किसी भी मशीन पर .env मानों, SSH कुंजियों और API टोकन को रोटेट करें जिसने कमप्रोमाइज विंडो के दौरान npm install चलाया था।
स्वतंत्र क्रिप्टो एजेंट्स प्राथमिक लक्ष्य क्यों हैं? वे सीधे निजी कुंजियों, API टोकन और क्लाउड क्रेडेंशियल्स के बगल में बैठते हैं। यूनिट 42 ने 2026 के पहले छमाही में AI-एजेंट टूलिंग को निशाना बनाने वाले 37 अभियानों और 497 मैलिसियस पैकेजों को ट्रैक किया — जो आज के इकोसिस्टम में सबसे उच्च-मूल्य, न्यूनतम-प्रयास अटैक सर्फेस है।
आगे पढ़ने के स्रोत: ReversingLabs — Claude क्रिप्टो एजेंट में मैलवेयर जोड़ता है (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Mastra npm आपूर्ति श्रृंखला समझौता (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), और Cloud Security Alliance — PromptMink अनुसंधान नोट (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain)।