北朝鮮のPromptMinkおよびMastraキャンペーンは、AIコーディングエージェントが暗号資産サプライチェーン攻撃の新たな戦場となり、汚染されたnpm依存関係を通じてウォレットを盗み出す手法を示している。
暗号資産サプライチェーン攻撃、AIコーダー経由で侵入
2026年2月28日、オープンソースのSolana取引ボット「openpaw-graveyard」に通常のコードコミットが適用された。単一の依存関係、@solana-launchpad/sdk が追加された。このコミットはAnthropicのClaude Opusが共同著者として署名していた。依存関係はクリーンに見えた — 磨き上げられたREADME、正確なTypeScript型、実在するSolana機能。しかし同時に、北朝鮮の認証情報窃取ツールである @validate-sdk/v2 も静かに取り込まれており、運営者にプロジェクトのウォレットや資金へのアクセス経路を提供していた。暗号資産サプライチェーン攻撃はAI時代に入り、ほぼ誰も適切なレイヤーで防御していない。
キャンペーンを発見し「PromptMink」と命名した脅威インテリジェンス企業ReversingLabsは、この状況を一言でこう表現した。「悪意のあるパッケージは、LLMコーディングエージェントよりも人間を騙して使用させることに成功した」。この一文は、現在クリプトで開発に取り組んでいるすべての人を恐怖に陥れるべきものだ。
私が主張したい論点は、あえて不快なものです。暗号資産は過去10年間、数百億ドルを費やしてブロックチェーンの監査を行ってきました——スマートコントラクト、コンセンサスロジック、マルチシグなどについてです。しかし、現在、実際の資金は1層上、開発者のキーボードから、開発者自身のAIアシスタントが手渡したマルウェアによって盗まれています。私たちは金庫を守ってきましたが、強盗たちは金庫が置かれている部屋の鍵のかけ方を学ぶことに成功しました。
主要なポイント
- ReversingLabsは2026年4月29日にPromptMinkを公開しました：北朝鮮のグループFamous Chollimaは、AIコーディングアシスタントを使用して、稼働中の自律型トレーディングエージェントにウォレット窃盗用のnpm依存関係を仕込んでいました。
- これは孤立した問題ではありません。2026年6月のMastra攻撃（Sapphire Sleet）は88分間で140以上のAIフレームワークパッケージを汚染し、2026年前半には497の悪意あるパッケージが発生しました。これは2025年通年のパッケージ総量のおよそ4.5倍に相当します。
- 資金はもはやスマートコントラクトのエクスプロイトを通じて移動するのではなく、開発者のワークステーションにおいて、ソフトウェアサプライチェーンを通じて窃取されています。
- 業界におけるプライベートキーを保有する自律型AIエージェントへの競争は、北朝鮮がすでに資金を吸い上げる方法を知っているまさにその標的を構築している。
なぜ攻撃はオンチェーンからオフチェーンに移行したのか？
PromptMinkは、人間と機械の隙間を標的とする見本のような事例です。有名なChollima（Shifty Corsairとしても追跡され、BlueNoroffおよびSapphire Sleetクラスターと重複）は、2層のパッケージアーキテクチャを構築しました。第1層は餌であり、@solana-launchpad/sdk、@meme-sdk/trade、@validate-ethereum-address/coreといったパッケージは、本物の有用なWeb3機能を提供し、悪意のあるコードは一切含んでいません。第2層は使い捨てのペイロードであり、@validate-sdk/v2とその兄弟パッケージが実際の盗みを行い、レジストリが1つをダウンさせた場合でも数時間以内に交換可能です。
業界の血を凍らせるべき部分は、その餌がどのように調整されていたかである。ReversingLabsはこの手法を「LLM最適化（LLMO）の悪用」と呼んでいる。これらのパッケージは、AIコーディングエージェントが任されたタスクに対する理想的な回答として読めるよう、長く整形されたREADMEと洗練されたドキュメントで設計されていた。コード自体は「バイブコーディング」— LLMによって生成されたものであり、プロダクションファイル内に「READMEを難読化するか？」というコメントのような見知らぬ痕跡が残っていた。人間の開発者なら、先週公開されダウンロード数が12しかないパッケージに気づいただろう。エージェントは意味的な適合性とドキュメントの品質のみを見ていた。
その後、ペイロードはエスカレートした。初期バージョンは.envファイルや.jsonファイルをスキャンする単純なJavaScriptのインフォステイラーだった。後のバリアントは80メガバイトのNode.js単一実行可能バイナリに進化し、さらにRustでコンパイルされたアドオンへと発展し、攻撃者のSSHキーを植えて永続性を確保し、ソースツリー全体を盗み出した。約7ヶ月にわたり、このキャンペーンは300バージョン以上、60個以上のユニークなパッケージを公開した。Expelの独立した調査によれば、2026年第1四半期だけで、このオペレーションによる確認済みの暗号通貨窃盗額は約1200万ドルに上る。
AIが依存関係を選んだ場合、誰が勝つのか？
これは単一のインシデントではありません。これは文書化されたキャンペーンです。2026年4月、同じ活動圏内の攻撃者が、地球上で最もダウンロード数の多いJavaScriptライブラリの1つであるAxios HTTPクライアントを侵害し、それを通じてOpenAIのmacOSアプリ署名ワークフローを乗っ取り、ChatGPT Desktop、Codex、Atlasのコード署名証明書の取り消しを強要しました。2026年6月、Sapphire Sleetは休眠していたnpmアカウント「ehindero」をハイジャックしました。これはかつてMastraのコントリビューターだった人物のアカウントで、公開権限が取り消されたことはありませんでした。攻撃者は88分間のうちに、@mastra AIエージェントフレームワークに属する140以上のパッケージを再公開しました。悪意のあるペイロードは、広く使われているdayjsライブラリのタイポスクワットであるeasy-day-jsで、postinstallドロッパーを発動させ、Windows、macOS、Linux上の166の暗号通貨ウォレットブラウザ拡張機能を狙いました。
Palo AltoのUnit 42はこの傾向に数値を付けました。2026年の前半には、AIエージェントツールを対象とした37のキャンペーンと497の悪意あるパッケージが確認され、これは2025年通年のキャンペーン数とパッケージ数のそれぞれ約2.6倍、4.5倍に相当します。Socketは、2025年1月以来、npm、PyPI、Go、Rust、Packagist全体で、この活動に関連する1,700以上の悪意あるパッケージを特定しています。
誰が損をするかは明白だ：検証されていない依存関係に対して「バイブコーディング」で本番環境のエージェントを構築するすべてのチーム、ノートパソコンでnpm installが自動実行されるすべてのソロ開発者、ホットキーアクセス付きの「自律型エージェント」機能をリリースするすべてのプロトコル。誰が勝つかもまた明確だ：AIコーディングエージェントを検証層ではなく攻撃対象として扱うセキュリティベンダー — ReversingLabs、Socket、Snyk、Sonatype — そして、ついに出典証明、スコープ付き公開期限、必須の二段階認証を余儀なくされるレジストリ。
これは過去にも起きたことなのか？
はい — しかし、この速度やこの非対称性で起きたことは決してありません。2018年のevent-streamバックドア、および2021年のcoa/rcおよびua-parser-jsの侵害は、npmサプライチェーンが脆弱であることを証明しました。北朝鮮のContagious Interviewキャンペーンは、偽の面接やトロイの木馬化されたコーディングテストを通じて、暗号通貨開発者を数年にわたって誘い込みました。2026年に変化したのは、人間のボトルネックの排除です。攻撃者はもはや開発者をだまして間違ったものをインストールさせる必要はありません。彼らはモデルのパッケージ選択ヒューリスティックをだまし、開発者はAI由来のスタンプを付与された「共同作成」コミットとしてその結果をマージします。このスタンプは、多くのレビュアーが反射的に信頼するものです。
これはコードに対するSEOポイズニングです — Googleの検索結果を操作するために人々が使用するのと同じプレイブックが、依存関係の解決に適用されています。そして、業界がほとんど話題にしない兄弟的存在があります。「スロップスクワッティング」です。これは、AIエージェントが生成中に正当なパッケージ名を幻覚のように思い浮かべ、攻撃者がその正確な名後で登録し、次のエージェントが同じタスクを「完了」する際に罠を引っ張るというものです。脆弱性はモデルにはありません。それは、エージェントに依存関係を追加し、マージ前の評判やマルウェアゲートなしでインストールスクリプトを実行する権限を与えるパイプラインにあります。
1〜3年後の展望は？
最初の防御の波は退屈で、ほぼ効果的になるだろう：パッケージごとの認可、ロックファイルと出所の強制、サンドボックス化されたインストール、デフォルトでポストインストールフックを信頼できないものとして扱うこと、そして脅威インテリジェンスフィードをコーディングエージェントのコンテキストに接続すること。2番目の波で、事態は醜くなる。攻撃者は信頼を上流へと追跡する——モデルの重み、ファインチューニングデータ、そしてエージェント経済の結合組織であるMCPサーバーへと。Googleの脅威インテリジェンスグループは、2026年に実世界で利用された最初のAI生成ゼロデイ脆弱性攻撃をすでに文書化している。北朝鮮は止まらないだろう。暗号資産の盗難は国家の収入項目なのだ。
私の予測：3年以内に「コードを誰が書き、それが何を取り込んでいるか」が真のセキュリティの問いとなり、「コードは法である」という姿勢は死滅する。資金にアクセスする自律型エージェントは、最小権限のレビュー対象の特権ユーザーとして扱われ、鍵を保持するあらゆるものにとって、サプライチェーンの証明基準（SOC 2の暗号通貨版）が必須条件となる。生き残るプロジェクトは、スマートコントラクトに対してかつて抱いていたのと同じ警戒心で、依存関係グラフを扱うものだ。
トレーダーにとってこれは何を意味するのか？
価格ではなくリスク。戦略的な教訓は、あなたの資本が実際にどの程度曝露されているかについて、優先順位を再設定することです。キーに触れるボットやエージェントを運用している、またはそれらに依存している場合は、不快な質問を投げかけてください：誰が、あるいは何が依存関係を追加したのか、そしてそのエージェントは人間の承認なしに新しいパッケージを導入できるのか。ホットキー管理で自律型エージェント機能を搭載するプロトコルはすべて精査してください。被害の範囲は新規で、大きく、ほぼ確実に過小評価されています。
具体的な対策は無駄がなく、複利効果をもたらします：依存関係を固定し、ロックファイルをコミットし、パッケージの正統性を有効にし、postinstallフックを信頼できないものとして扱い、package.json に変更を加える AI 作成のコミットはすべてレビューし、既知の侵害期間中に npm install を実行したマシン上の .env ファイル、SSH キー、API トークンはすべてローテーションしてください。今後18ヶ月間のこの市場におけるアルファはトークンではありません。それは、最終的にあなたのキーが守られていることです。
2026年の暗号通貨で最も危険なものは、スマートコントラクトのバグではない——それは、開発者がAIに「検証ライブラリ」を選ばせることだ。北朝鮮はブロックチェーンに勝ったのではない。その前に座る人間に勝ったのだ。自らの生産性ツールを借りて、汚い仕事をさせた。だから、私は離れない問いがある。私たちはコードが監査されているかどうか obsess するが、監査者の依存関係は誰が監査するのか？自律型取引エージェントに署名権限があり、Claudeが共著したコミット履歴を持つ場合、攻撃はチェーンに触れる必要すらない。npm install が必要なのである。
FAQ
PromptMinkとは何か？PromptMinkは、2026年4月にReversingLabsによって命名された北朝鮮のサプライチェーンキャンペーンである。これは、@solana-launchpad/sdkのようなクリーンな「餌」となるパッケージを用い、静かに悪意のある第二層ペイロードである@validate-sdk/v2を引き寄せ、ウォレット認証情報、SSHキー、ソースコードを外部に漏洩させた。
AnthropicやClaudeが実際にマルウェアを作成したのでしょうか？ いいえ。モデルは悪意のあるコードを書いたのではなく、コーディングタスクに対して一見妥当な依存関係を受け入れました。失敗の原因はパイプラインの構成にあり、依存関係の追加とインストールスクリプトの実行権限を持つエージェントが、マージ前のマルウェアチェックや信頼性ゲートを持たなかったためです。
Mastra攻撃とは何ですか？ 2026年6月17日、北朝鮮のSapphire Sleetは休眠状態のnpmアカウント「ehindero」を乗っ取り、88分以内に@mastra AIエージェントフレームワークの140以上のパッケージを再公開しました。各パッケージには、166の暗号通貨ウォレット拡張機能を対象としたpostinstallドロッパーを内蔵した、easy-day-jsというタイプスquat依存関係が含まれていました。
影響を受けたかどうかを確認するには、フラグ指定されたパッケージ名（@validate-sdk/v2、@solana-launchpad/sdk、easy-day-js）を含むロックファイルを監査し、マルウェアに焦点を当てた依存関係スキャナーを実行し、侵害期間中に npm install を実行したすべてのマシンで .env の値、SSH キー、API トークンを回転（再発行）してください。
自律型暗号エージェントが主要な標的となるのはなぜですか？それらはプライベートキー、API トークン、クラウド認証情報のすぐ隣に位置しています。Unit 42 は、2026 年の前半に AI エージェントのツールリングを対象とした 37 件のキャンペーンと 497 件のマルウェアパッケージを追跡しました。これは、現在のエコシステムにおいて最も価値が高く、最も低コストな攻撃面です。
さらに読むためのソース: ReversingLabs — Claudeがマルウェアを暗号エージェントに追加 (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Mastra npmサプライチェーン侵害 (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), および Cloud Security Alliance — PromptMink研究ノート (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain)。