Le campagne PromptMink e Mastra della Corea del Nord mostrano come gli agenti di codifica AI siano diventati la nuova frontiera degli attacchi alla catena di approvvigionamento crittografica, rubando portafogli attraverso dipendenze npm avvelenate.
Gli attacchi alla catena di approvvigionamento crittografica ora arrivano tramite programmatori AI
Il 28 febbraio 2026, un normale commit di codice è atterrato in un bot di trading open-source per Solana chiamato openpaw-graveyard. Ha aggiunto una singola dipendenza, @solana-launchpad/sdk. Il commit è stato co-autore da Claude Opus di Anthropic. La dipendenza sembrava pulita — README curata, tipi TypeScript corretti, funzionalità Solana reali. Ha anche tirato silenziosamente dentro @validate-sdk/v2, un rubatore di credenziali nordcoreano che ha dato ai suoi operatori una via d'accesso ai wallet e ai fondi del progetto. L'attacco alla catena di approvvigionamento crittografico è entrato nella sua era AI, e quasi nessuno sta difendendo lo strato giusto.
ReversingLabs, la società di threat intelligence che ha scoperto la campagna e l'ha denominata PromptMink, ha riassunto la svolta in una riga: i pacchetti malevoli sono stati "più efficaci nel ingannare gli agenti di codifica LLM rispetto agli umani per indurli a utilizzarli." Questa frase dovrebbe terrorizzare chiunque stia costruendo nel settore crypto in questo momento.
Ecco l'argomento che voglio sostenere, ed è deliberatamente scomodo: il settore crypto ha trascorso un decennio e speso centinaia di milioni di dollari nell'audit della blockchain — smart contract, logica di consenso, multisig — mentre il denaro viene ora rubato un livello più in alto, alla tastiera dello sviluppatore, da malware che l'assistente AI dello sviluppatore stesso ha consegnato di persona. Abbiamo difeso la cassaforte mentre i ladri hanno imparato ad aprire la serratura della stanza in cui si trova la cassaforte.
Punti chiave
- ReversingLabs ha segnalato PromptMink il 29 aprile 2026: il gruppo nordcoreano Famous Chollima ha utilizzato un assistente di codifica basato sull'intelligenza artificiale per inserire una dipendenza npm che ruba portafogli in un agente di trading autonomo in produzione.
- Non è isolato: l'attacco Mastra di giugno 2026 (Sapphire Sleet) ha avvelenato oltre 140 pacchetti di framework AI in 88 minuti, e la prima metà del 2026 ha prodotto 497 pacchetti malevoli, circa 4,5 volte il volume di pacchetti di tutto il 2025.
- Il denaro non si muove più attraverso exploit di smart contract; viene rubato alla postazione di lavoro dello sviluppatore, attraverso la catena di approvvigionamento del software.
- La corsa del settore verso agenti AI autonomi che detengono chiavi private sta creando il bersaglio esatto che la Corea del Nord sa già come drenare.
Perché l'attacco si è spostato off-chain?
PromptMink è una masterclass nel colmare il divario tra umano e macchina. Il famoso Chollima (noto anche come Shifty Corsair e sovrapposto ai cluster BlueNoroff e Sapphire Sleet) ha sviluppato un'architettura a due livelli. Il primo livello è l'esca: pacchetti come @solana-launchpad/sdk, @meme-sdk/trade e @validate-ethereum-address/core che distribuiscono funzionalità Web3 genuine e utili, senza alcun codice dannoso. Il secondo livello è il payload usa e getta — @validate-sdk/v2 e i suoi fratelli — che eseguono il furto effettivo e possono essere sostituiti nel giro di ore ogni volta che un registro ne elimina uno.
La parte che dovrebbe far gelare il sangue del settore è quanto sia stata calibrata l'esca. ReversingLabs definisce la tecnica come "abuso di ottimizzazione LLM (LLMO)": i pacchetti sono stati progettati con README lunghi e ben formattati e documentazione curata, in modo da apparire come la risposta ideale a qualsiasi compito affidato a un agente di codifica AI. Il codice stesso è stato "vibe-coded" — generato da un LLM — lasciando artefatti casuali come un commento che chiede "offuscare il README?" nei file di produzione. Uno sviluppatore umano avrebbe notato un pacchetto con dodici download pubblicato la scorsa settimana. L'agente ha visto solo aderenza semantica e qualità della documentazione.
Poi i payload sono diventati più aggressivi. Le prime versioni erano semplici infostealer in JavaScript che scansionavano i file .env e .json. Le varianti successive sono diventate binari Node.js singoli eseguibili da 80 megabyte, poi add-on in Rust compilati che installavano chiavi SSH degli attaccanti per garantire la persistenza ed esfiltravano interi alberi di codice sorgente. Nel corso di circa sette mesi, la campagna ha pubblicato oltre 60 pacchetti unici, per un totale di oltre 300 versioni. Le ricerche indipendenti di Expel hanno collegato circa 12 milioni di dollari di furto di criptovalute confermato all'operazione nel solo Q1 2026.
Chi vince quando l'IA sceglie le tue dipendenze?
Questo non è un incidente isolato. È una campagna documentata. Nell'aprile 2026, un attaccante nello stesso orbita ha compromesso il client HTTP Axios — una delle librerie JavaScript più scaricate al mondo — e attraverso di esso il flusso di lavoro di firma delle app per macOS presso OpenAI, costringendo alla revoca dei certificati di firma del codice per ChatGPT Desktop, Codex e Atlas. Nel giugno 2026, Sapphire Sleet ha dirottato l'account npm inattivo "ehindero", un ex contributor di Mastra i cui diritti di pubblicazione non erano mai stati revocati, e ha ripubblicato oltre 140 pacchetti nell'arco di 88 minuti, relativi al framework per agenti AI @mastra. Il payload avvelenato, un typosquat della libreria ubiqua dayjs chiamato easy-day-js, ha attivato un dropper postinstall che ha preso di mira 166 estensioni per browser di wallet di criptovalute su Windows, macOS e Linux.
Unit 42 di Palo Alto ha quantificato questa tendenza: la prima metà del 2026 ha visto 37 campagne e 497 pacchetti malevoli mirati agli strumenti per agenti AI — circa 2,6 volte le campagne e 4,5 volte il volume di pacchetti rispetto a tutto il 2025 combinato. Socket ha collegato oltre 1.700 pacchetti malevoli a questa attività su npm, PyPI, Go, Rust e Packagist da gennaio 2025.
È ovvio chi perde: ogni team che "vibe code" un agente di produzione contro dipendenze non verificate, ogni sviluppatore singolo il cui laptop esegue npm install in modalità automatica, e ogni protocollo che rilascia una funzionalità di "agente autonomo" con accesso tramite tasti rapidi. È altrettanto chiaro chi vince: i fornitori di sicurezza che trattano gli agenti di codifica basati su AI come una superficie di attacco piuttosto che come uno strato di verifica — ReversingLabs, Socket, Snyk, Sonatype — e i registri che, finalmente, sono costretti ad adottare attestazioni di provenienza, scadenza limitata per le pubblicazioni e autenticazione a due fattori obbligatoria.
È già successo prima?
Sì — ma mai a questa velocità o con questa asimmetria. La backdoor nel flusso di eventi del 2018 e le compromissioni di coa/rc e ua-parser-js del 2021 hanno dimostrato che la catena di approvvigionamento di npm era debole. La campagna Contagious Interview della Corea del Nord ha impiegato anni per attirare gli sviluppatori di criptovalute attraverso colloqui di lavoro falsi e valutazioni di codifica trojanizzate. Ciò che è cambiato nel 2026 è la rimozione del collo di bottiglia umano. L'attaccante non deve più indurre uno sviluppatore a installare la cosa sbagliata; inganna l'euristiche di selezione dei pacchetti del modello, e lo sviluppatore unisce il risultato come un commit "co-autore" che porta un timbro di provenienza AI che molti revisori ora si fidano in modo riflessivo.
È SEO poisoning per il codice — lo stesso copione che le persone usano per manipolare i risultati di Google, applicato alla risoluzione delle dipendenze. E ha un fratello che l'industria parla a malapena: "slopsquatting", dove un agente AI hallucina un nome di pacchetto plausibile durante la generazione, e gli attaccanti registrano quel nome esatto in seguito in modo che il prossimo agente che "completa" lo stesso compito estragga la trappola. La vulnerabilità non è nel modello. È in una pipeline che dà a un agente l'autorità di aggiungere dipendenze ed eseguire script di installazione senza reputazione pre-merge o gate malware.
Dove si dirigerà la situazione tra uno e tre anni?
La prima ondata di difesa sarà noiosa e per lo più efficace: autorizzazione per pacchetto, enforcement del lockfile e della provenienza, installazioni in sandbox, trattamento dei postinstall hook come non attendibili di default e feed di threat-intelligence integrati nel contesto dell'agente di codifica. La seconda ondata è dove le cose si fanno brutte. Gli attaccanti seguiranno la catena di fiducia a monte — nei pesi dei modelli, nei dati di fine-tuning e nei server MCP, il tessuto connettivo dell'economia degli agenti. Il Threat Intelligence Group di Google ha già documentato la prima exploit zero-day generata dall'IA utilizzata nel mondo reale nel 2026. La Corea del Nord non si fermerà; il furto di criptovalute è una voce di entrata statale.
La mia previsione: entro tre anni, "chi ha scritto il codice e cosa importa" diventa la vera domanda sulla sicurezza, e "il codice è legge" muore come postura. Gli agenti autonomi che toccano i fondi saranno trattati come utenti privilegiati soggetti a una revisione del principio del minimo privilegio, e uno standard di attestazione della catena di approvvigionamento — l'equivalente crypto di SOC 2 — diventerà un requisito minimo per qualsiasi cosa che detenga una chiave. I progetti che sopravvivono sono quelli che trattano il loro grafo delle dipendenze con la stessa paranoia che un tempo riservavano ai loro smart contract.
Cosa significa questo per i trader?
Non il prezzo — il rischio. La lezione strategica è una ri-prioritizzazione di dove il tuo capitale è effettivamente esposto. Se gestisci o ti affidi a bot e agenti che toccano le chiavi, poniti la domanda scomoda: chi o cosa ha aggiunto le loro dipendenze, e quell'agente può introdurre un nuovo pacchetto senza l'approvazione di un essere umano? Esamina attentamente qualsiasi protocollo che offre una funzione di agente autonomo con custodia di chiavi calde — il raggio d'azione è nuovo, ampio e quasi certamente sottovalutato.
Le mosse concrete non costano nulla e si accumulano: vincola le dipendenze, committa i lockfile, abilita la provenienza dei pacchetti, tratta i postinstall hook come non attendibili, rivedi ogni commit scritto da AI che tocca package.json, e ruota i file .env, le chiavi SSH e i token API su qualsiasi macchina che abbia eseguito npm install durante una finestra di compromissione nota. L'alpha in questo mercato per i prossimi diciotto mesi non è un token. È ancora avere le tue chiavi alla fine di esse.
La cosa più pericolosa nel crypto nel 2026 non è un bug di uno smart contract — è uno sviluppatore che si fida della propria IA per scegliere una "libreria di validazione." La Corea del Nord non ha sconfitto la blockchain; ha sconfitto la persona seduta davanti allo schermo, sfruttando il proprio strumento di produttività per fare il lavoro sporco. Quindi ecco la domanda che non riesco a scartare: ci ossessioniamo sul fatto che il codice sia stato auditato, ma chi sta auditando le dipendenze dell'auditor? Quando il tuo agente di trading autonomo ha l'autorità di firma e una cronologia dei commit co-autorizzata da Claude, l'attacco non deve mai toccare la catena. Ha solo bisogno di npm install.
FAQ
Cos'è PromptMink? PromptMink è una campagna di supply chain nordcoreana denominata da ReversingLabs nell'aprile 2026. Ha utilizzato pacchetti npm a due livelli — un pacchetto "esca" pulito come @solana-launchpad/sdk che ha silenziosamente estratto un payload dannoso di secondo livello, @validate-sdk/v2, che ha esfiltrato le credenziali del portafoglio, le chiavi SSH e il codice sorgente.
Anthropic o Claude hanno davvero creato malware? No. Il modello non ha scritto codice dannoso; ha accettato una dipendenza dall'aspetto plausibile per un'attività di codifica. L'errore è stato nella configurazione della pipeline: un agente con l'autorità di aggiungere dipendenze ed eseguire script di installazione, senza alcun filtro pre-merge per malware o reputazione.
Cos'è stato l'attacco a Mastra? Il 17 giugno 2026, la minaccia informatica Sapphire Sleet della Corea del Nord ha dirottato l'account npm inattivo "ehindero" e ha ripubblicato oltre 140 pacchetti nel framework AI-agent @mastra in 88 minuti. Ognuno di essi conteneva una dipendenza typosquat, easy-day-js, con un dropper postinstall che prendeva di mira 166 estensioni per wallet di criptovalute.
Come faccio a sapere se sono stato interessato? Controlla i tuoi lockfile per i nomi dei pacchetti segnalati (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js), esegui uno scanner di dipendenze focalizzato sul malware e ruota i valori .env, le chiavi SSH e i token API su qualsiasi macchina che ha eseguito npm install durante le finestre di compromissione.
Perché gli agenti crittografici autonomi sono il bersaglio principale? Si trovano direttamente accanto alle chiavi private, ai token API e alle credenziali cloud. Unit 42 ha tracciato 37 campagne e 497 pacchetti dannosi mirati agli strumenti per agenti AI nella prima metà del 2026 — la superficie di attacco di maggior valore e minor sforzo nell'ecosistema attuale.
Fonti per ulteriori letture: ReversingLabs — Claude aggiunge malware all'agente crittografico (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Compromissione della catena di approvvigionamento npm di Mastra (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), e Cloud Security Alliance — Nota di ricerca su PromptMink (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain).