De PromptMink- en Mastra-campagnes van Noord-Korea tonen aan hoe AI-codingagents de nieuwe frontlinie zijn geworden in crypto supply chain-aanvallen, waarbij wallets worden gestolen via vergiftigde npm-afhankelijkheden.
Crypto Supply Chain-aanvallen rijden nu AI-coders binnen
Op 28 februari 2026 landde een routinele codecommit in een opensource Solana-handelsbot genaamd openpaw-graveyard. Het voegde een enkele afhankelijkheid toe, @solana-launchpad/sdk. De commit was mede-ondertekend door Anthropic's Claude Opus. De afhankelijkheid zag er schoon uit — een gepolijste README, correcte TypeScript-types, echte Solana-functionaliteit. Het troeg ook stilletjes @validate-sdk/v2 binnen, een Noord-Koreaanse inloggegevensdief die zijn operators een weg gaf naar de portefeuilles en fondsen van het project. De crypto supply chain-aanval is zijn AI-tijdperk binnengestapt, en bijna niemand verdedigt de juiste laag.
ReversingLabs, het threat-intelligence-bedrijf dat de campagne ontdekte en PromptMink noemde, vat de draai samen in één zin: de schadelijke pakketten waren "succesvoller in het misleiden van LLM-codingagents dan mensen om ze te gebruiken." Deze zin zou iedereen die nu in crypto bouwt moeten tergen.
Hier is het argument dat ik wil maken, en het is opzettelijk ongemakkelijk: crypto heeft een decennium en honderden miljoenen dollars besteed aan het auditen van de blockchain — smart contracts, consensuslogica, multisigs — terwijl het geld nu een laag hoger wordt gestolen, bij het toetsenbord van de ontwikkelaar, door malware die de AI-assistent van de ontwikkelaar zelf heeft afgeleverd. We hebben de kluis verdedigd, terwijl de dieven de sleutel leerden maken voor de kamer waarin de kluis staat.
Belangrijkste punten
- ReversingLabs heeft PromptMink bekendgemaakt op 29 april 2026: de Noord-Koreaanse groep Famous Chollima gebruikte een AI-coderingsassistent om een wallet-stalende npm-afhankelijkheid te plaatsen in een live autonome handelsagent.
- Het is niet geïsoleerd — de Mastra-aanval van juni 2026 (Sapphire Sleet) vergiftigde 140+ AI-frameworkpakketten in 88 minuten, en het eerste halfjaar van 2026 produceerde 497 kwaadaardige pakketten, ongeveer 4,5x het pakketvolume van heel 2025.
- Het geld beweegt niet langer via slimme-contractexploits; het wordt gestolen op het werkstation van de ontwikkelaar, via de softwaretoeleveringsketen.
- De race van de industrie naar autonome AI-agenten die privé-sleutels beheren, creëert precies het doelwit dat Noord-Korea al weet te ontdoen van fondsen.
Waarom verhuisde de aanval off-chain?
PromptMink is een masterclass in het richten op de kloof tussen mens en machine. De beroemde Chollima (ook gevolgd als Shifty Corsair, en overlappend met de BlueNoroff- en Sapphire Sleet-clusters) bouwde een tweelaagse pakketarchitectuur. De eerste laag is de lokvogel — pakketten zoals @solana-launchpad/sdk, @meme-sdk/trade en @validate-ethereum-address/core die echte, nuttige Web3-functionaliteit leveren en helemaal geen schadelijke code bevatten. De tweede laag is de wegwerplast — @validate-sdk/v2 en zijn zussen — die de daadwerkelijke diefstal uitvoeren en binnen enkele uren kunnen worden vervangen zodra een register er een uitschakelt.
Het deel dat het bloed van de industrie koud moet doen stromen, is hoe de lokvogel is afgestemd. ReversingLabs noemt de techniek "misbruik van LLM-optimalisatie (LLMO)": de pakketten zijn ontworpen met lange, goed opgemaakte README's en gepolijste documentatie, zodat ze als het ideale antwoord lijken op welke taak ook een AI-coderingsagent is toegewezen. De code zelf was "vibe-coded" — gegenereerd met een LLM — wat resulteerde in achtergebleven artefacten, zoals een opmerking die vraagt "de README verbergen?", die in productiedocumenten bleef staan. Een menselijke ontwikkelaar zou een pakket met twaalf downloads dat vorige week is gepubliceerd, hebben opgemerkt. De agent zag alleen semantische geschiktheid en documentatiekwaliteit.
Toen escaleerden de payloads. Vroege versies waren eenvoudige JavaScript-infostealers die .env- en .json-bestanden opraapten. Latere varianten groeiden uit tot 80-megabyte Node.js single-executable binaries, vervolgens gecompileerde Rust-add-ons die SSH-sleutels van de aanvaller plantten voor persistentie en volledige bronbomen ontvoerden. Over ongeveer zeven maanden publiceerde de campagne meer dan 60 unieke pakketten die zich uitstrekte over meer dan 300 versies. Onafhankelijk onderzoek van Expel koppelde ongeveer $12 miljoen aan bevestigde cryptocurrency-diefstal aan de operatie alleen al in Q1 2026.
Wie wint als AI je afhankelijkheden kiest?
Dit is geen enkel incident. Het is een gedocumenteerde campagne. In april 2026 compromitteerde een aanvaller in dezelfde orbit de Axios HTTP-client — een van de meest gedownloade JavaScript-bibliotheken ter wereld — en via die weg het macOS-app-ondertekeningsworkflow bij OpenAI, waardoor code-ondertekeningscertificaten voor ChatGPT Desktop, Codex en Atlas moesten worden ingetrokken. In juni 2026 overnam Sapphire Sleet het inactieve npm-account "ehindero", een voormalige Mastra-bijdrager wiens publicatierechten nooit waren ingetrokken, en publiceerde meer dan 140 pakketten opnieuw in het @mastra AI-agent framework binnen een venster van 88 minuten. De vergiftigde payload, een typosquat van de alomtegenwoordige dayjs-bibliotheek genaamd easy-day-js, activeerde een postinstall-dropper die 166 cryptocurrency-wallet browser-extensies targette op Windows, macOS en Linux.
Palo Alto's Unit 42 gaf een getal aan de trend: de eerste helft van 2026 kende 37 campagnes en 497 kwaadaardige pakketten gericht op AI-agent-tooling — ongeveer 2,6x de campagnes en 4,5x het pakketvolume van het hele jaar 2025 samen. Socket heeft meer dan 1.700 kwaadaardige pakketten aan deze activiteit gekoppeld op npm, PyPI, Go, Rust en Packagist sinds januari 2025.
Wie verliest is duidelijk: elk team dat een productiemedewerker 'vibe code't tegen niet-geverifieerde afhankelijkheden, elke solo-ontwikkelaar wiens laptop npm install op automatische piloot draait, en elk protocol dat een 'autonome agent'-functie met hotkey-toegang uitbrengt. Wie wint is net zo duidelijk: de beveiligingsleveranciers die AI-codingagents behandelen als een aanvalsoppervlak in plaats van een verificatielaag — ReversingLabs, Socket, Snyk, Sonatype — en de registers die eindelijk worden gedwongen tot herkomstattestatie, beperkte publicatievervaldata en verplichte tweefactorauthenticatie.
Is dit eerder gebeurd?
Ja — maar nooit met deze snelheid of met deze asymmetrie. De backdoor in de event-stream in 2018 en de compromitteringen van coa/rc en ua-parser-js in 2021 bewezen dat de npm-leveringsketen kwetsbaar was. Noord-Korea's campagne 'Contagious Interview' besteedde jaren aan het lokken van crypto-ontwikkelaars via nep-sollicitatiegesprekken en trojanische programmeerassessment. Wat in 2026 veranderde, is de verwijdering van de menselijke bottleneck. De aanvaller hoeft een ontwikkelaar niet meer te misleiden om het verkeerde ding te installeren; ze misleiden de package-selection-heuristiek van het model, en de ontwikkelaar mergeert het resultaat als een "co-authored"-commit die een AI-provenance-stempel draagt dat veel reviewers nu reflexief vertrouwen.
Het is SEO-poisoning voor code — hetzelfde spelboek dat mensen gebruiken om Google-resultaten te manipuleren, toegepast op dependency-resolutie. En het heeft een broer die de industrie amper bespreekt: "slopsquatting", waarbij een AI-agent tijdens de generatie een aannemelijke pakketnaam hallucineert, en aanvaller die exacte naam later registreren zodat de volgende agent die dezelfde taak "voltooit" de val trekt. De kwetsbaarheid zit niet in het model. Het zit in een pipeline die een agent autoriteit geeft om dependencies toe te voegen en install-scripts uit te voeren zonder reputatie voorafgaand aan merge of malware-gate.
Waar gaat dit naartoe over één tot drie jaar?
De eerste golf van verdediging zal saai en grotendeels effectief zijn: autorisatie per pakket, afdwinging van lockfiles en herkomst, geïsoleerde installaties, postinstall-hooks standaard als onbetrouwbaar behandelen, en threat-intelligencefeeds die in de context van de coderingsagent worden gevoed. De tweede golf wordt er lelijk. Aanvallers zullen het vertrouwen de stroomopwaartse richting volgen — naar modelgewichten, fine-tuningdata en MCP-servers, het verbindende weefsel van de agent-economie. De Threat Intelligence Group van Google heeft al de eerste in het wild gebruikte, door AI gegenereerde zero-day-exploit gedocumenteerd in 2026. Noord-Korea zal niet stoppen; cryptodiefstal is een staatsinkomstenpost.
Mijn voorspelling: binnen drie jaar wordt 'wie heeft de code geschreven en wat haalt deze op' de echte beveiligingsvraag, en 'code is wet' sterft als houding. Autonome agenten die met fondsen omgaan, worden behandeld als geprivilegieerde gebruikers die onderworpen zijn aan een review op basis van het principe van de minste rechten, en een attestatiestandaard voor de supply chain — het crypto-equivalent van SOC 2 — wordt tot de basisvereisten voor alles wat een sleutel vasthoudt. De projecten die overleven, zijn diegenen die hun afhankelijkheidsgrafiek met dezelfde paranoïde zorg behandelen die ze ooit voor hun slimme contracten hanteerden.
Wat betekent dit voor handelaren?
Niet prijs — risico. De strategische les is een heroriëntatie van waar uw kapitaal daadwerkelijk blootstaat. Als u bots en agents gebruikt of hierop vertrouwt die sleutels aanraken, stel dan de ongemakkelijke vraag: wie of wat heeft hun afhankelijkheden toegevoegd, en kan die agent een nieuw pakket introduceren zonder dat een mens dit goedkeurt? Onderzoek elk protocol dat een autonome-agentfunctie levert met hot-key custody — de impact is nieuw, groot en vrijwel zeker verkeerd gewaardeerd.
De concrete maatregelen kosten niets en compounding: pin afhankelijkheden, commit lockfiles, schakel package provenance in, behandel postinstall-hooks als onbetrouwbaar, bekijk elke door AI geschreven commit die package.json aanraakt, en draai .env-bestanden, SSH-sleutels en API-tokens op elke machine die npm install heeft uitgevoerd tijdens een bekend compromisvenster. De alpha in deze markt voor de komende achttien maanden is geen token. Het is nog steeds uw sleutels aan het einde ervan hebben.
Het gevaarlijkste in crypto in 2026 is geen smart-contractbug — het is een ontwikkelaar die zijn AI vertrouwt om een "validatielibrary" te kiezen. Noord-Korea heeft de blockchain niet verslagen; het versloeg de persoon die ervoor zat, door zijn eigen productiviteitstool te lenen voor het vuile werk. Dus hier is de vraag die ik niet kan loslaten: we obsederen over de vraag of code is geauditeerd, maar wie auditeert de afhankelijkheden van de auditor? Wanneer je autonome handelsagent tekenbevoegdheid heeft en een commit-geschiedschap die mede is geschreven door Claude, hoeft de aanval de keten helemaal niet aan te raken. Het heeft alleen npm install nodig.
FAQ
Wat is PromptMink? PromptMink is een Noord-Koreaanse supply chain-campagne, genoemd door ReversingLabs in april 2026. Het gebruikte twee-laagse npm-pakketten — een schoon "aas"-pakket zoals @solana-launchpad/sdk dat stil een schadelijk tweede-laag payload trok, @validate-sdk/v2, dat wallet-gegevens, SSH-sleutels en broncode stal.
Hebben Anthropic of Claude daadwerkelijk malware gemaakt? Nee. Het model schreef geen kwaadaardige code; het accepteerde een aannemelijk ogende afhankelijkheid voor een programmeertaak. De fout zat in de pipelineconfiguratie — een agent met bevoegdheid om afhankelijkheden toe te voegen en installatiescripts uit te voeren, zonder voorafgaande malware- of reputatiecontrole vóór samenvoegen.
Wat was de Mastra-aanval? Op 17 juni 2026 overnam Noord-Korea's Sapphire Sleet het inactieve npm-account "ehindero" en herpubliceerde 140+ pakketten in het @mastra AI-agentframework in 88 minuten. Elk pakket bevatte een typosquat-afhankelijkheid, easy-day-js, met een postinstall-dropper die 166 cryptocurrency-wallet-extensies targette.
Hoe weet ik of ik ben getroffen? Controleer uw lockfiles op de gemarkeerde pakketnamen (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js), voer een malware-gerichte dependency-scanner uit en draai .env-waarden, SSH-sleutels en API-tokens om op elk apparaat dat npm install heeft uitgevoerd tijdens de compromisvensters.
Waarom zijn autonome crypto-agents het primaire doelwit? Ze staan direct naast private keys, API-tokens en cloud-credentials. Unit 42 traceerde 37 campagnes en 497 kwaadaardige pakketten gericht op AI-agent-tooling in de eerste helft van 2026 — het meest waardevolle, minst inspanningsvraagstukke aanvalsvlak in het ecosysteem vandaag.
Bronnen voor verdere lezen: ReversingLabs — Claude voegt malware toe aan crypto-agent (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Mastra npm supply chain compromis (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), en Cloud Security Alliance — PromptMink onderzoeksnotitie (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain).