Кампании PromptMink и Mastra, проводимые Северной Кореей, демонстрируют, как ИИ-агенты для программирования стали новым фронтом в атаках на криптографическую цепочку поставок, крадущим кошельки через отравленные зависимости npm.
Атаки на криптографическую цепочку поставок теперь осуществляются через ИИ-разработчиков
28 февраля 2026 года в открытый исходный код торгового бота для Solana под названием openpaw-graveyard было внесено обычное обновление. Оно добавило одну зависимость: @solana-launchpad/sdk. Коммит был совместно авторизован Claude Opus от Anthropic. Зависимость выглядела чисто — отполированная документация README, корректные типы TypeScript, реальная функциональность для Solana. Она также незаметно подтянула @validate-sdk/v2, крадущий учетные данные от Северной Кореи, который предоставил операторам путь к кошелькам и средствам проекта. Эра ИИ в атаках на криптографическую цепочку поставок уже наступила, и почти никто не защищает правильный уровень защиты.
ReversingLabs, компания по анализу угроз, которая раскрыла эту кампанию и назвала её PromptMink, описала суть в одном предложении: вредоносные пакеты «оказались более успешными в обмане LLM-агентов для написания кода, чем людей, чтобы те их использовали». Это предложение должно напугать каждого, кто сейчас работает в криптоиндустрии.
Вот аргумент, который я хочу донести, и он намеренно неприятен: криптоиндустрия потратила десятилетие и сотни миллионов долларов на аудит блокчейна — смарт-контрактов, логики консенсуса, мультиподписей — в то время как реальные деньги теперь похищаются на один уровень выше, на клавиатуре разработчика, с помощью вредоносного ПО, которое лично доставил ИИ-ассистент разработчика. Мы защищали хранилище, пока воры научились взламывать замок в комнате, где это хранилище находится.
Ключевые выводы
- ReversingLabs раскрыла информацию о PromptMink 29 апреля 2026 года: северокорейская группа Famous Chollima использовала ИИ-помощника для написания кода, чтобы внедрить зависимость npm, крадущую кошельки, в работающего автономного торгового агента.
- Это не изолированный инцидент — атака на Mastra в июне 2026 года (Sapphire Sleet) отравила более 140 пакетов AI-фреймворков за 88 минут, а в первой половине 2026 года было выпущено 497 вредоносных пакетов, что примерно в 4,5 раза превышает объём пакетов за весь 2025 год.
- Деньги больше не перемещаются через уязвимости смарт-контрактов; они крадутся на рабочей станции разработчика, через цепочку поставок программного обеспечения.
- Гонка индустрии к автономным ИИ-агентам, владеющим приватными ключами, формирует именно ту цель, которую Северная Корея уже умеет опустошать.
Почему атака переместилась вне цепи?
PromptMink — это мастер-класс по использованию разрыва между человеком и машиной. Известный Chollima (также отслеживаемый как Shifty Corsair и пересекающийся с кластерами BlueNoroff и Sapphire Sleet) создал двухуровневую архитектуру пакетов. Первый слой — это приманка: пакеты вроде @solana-launchpad/sdk, @meme-sdk/trade и @validate-ethereum-address/core, которые поставляют настоящие, полезные функции Web3 и вообще не содержат вредоносного кода. Второй слой — это одноразовая полезная нагрузка: @validate-sdk/v2 и его родственные пакеты, которые осуществляют фактическое кражу и могут быть заменены в течение нескольких часов, как только реестр удалит один из них.
Часть, которая должна заставить кровь индустрии застыть в жилах, — это то, как была настроена приманка. ReversingLabs называет эту технику «злоупотреблением оптимизацией LLM (LLMO)»: пакеты были спроектированы с длинными, хорошо отформатированными файлами README и отполированной документацией, чтобы они выглядели как идеальный ответ на любую задачу, порученную агенту ИИ для написания кода. Сам код был «написан по настроению» (vibe-coded) — сгенерирован с помощью LLM, из-за чего в производственных файлах оставались случайные артефакты, например, комментарий с вопросом «затемнить README?». Человеческий разработчик заметил бы пакет с двенадцатью загрузками, опубликованный на прошлой неделе. Агент же видел только семантическое соответствие и качество документации.
Затем полезные нагрузки эскалировали. Ранние версии были простыми JavaScript-инфостилерами, которые собирали файлы .env и .json. Поздние варианты превратились в 80-мегабайтные однофайловые исполняемые бинарники Node.js, а затем в скомпилированные аддоны на Rust, которые устанавливали SSH-ключи атакующего для персистентности и экспфильтровали целые деревья исходного кода. За примерно семь месяцев кампания опубликовала более 60 уникальных пакетов, охватывающих более 300 версий. Независимое исследование Expel связало примерно $12 миллионов подтвержденной кражи криптовалюты с этой операцией только в Q1 2026 году.
Кто побеждает, когда ИИ выбирает ваши зависимости?
Это не единичный инцидент. Это задокументированная кампания. В апреле 2026 года злоумышленник в том же орбите скомпрометировал HTTP-клиент Axios — одну из самых скачиваемых библиотек JavaScript в мире — и через неё workflow подписания приложений для macOS в OpenAI, что привело к отзыву сертификатов подписи кода для ChatGPT Desktop, Codex и Atlas. В июне 2026 года Sapphire Sleet перехватил неактивный аккаунт npm «ehindero», бывшего участника проекта Mastra, у которого права на публикацию никогда не были отозваны, и за 88 минут повторно опубликовал более 140 пакетов в рамках фреймворка ИИ-агентов @mastra. Отравленная полезная нагрузка, тайпоскуат всеобщей библиотеки dayjs под названием easy-day-js, запустила postinstall-дроппер, нацеленный на 166 браузерных расширений криптокошельков на Windows, macOS и Linux.
Подразделение Palo Alto Networks Unit 42 оценило масштаб тенденции: в первой половине 2026 года было зафиксировано 37 кампаний и 497 вредоносных пакетов, направленных на инструменты для AI-агентов, — это примерно в 2,6 раза больше кампаний и в 4,5 раза больше объёма пакетов по сравнению со всем 2025 годом в совокупности. С января 2025 года Socket связала более 1700 вредоносных пакетов с этой деятельностью в репозиториях npm, PyPI, Go, Rust и Packagist.
Кто проигрывает, очевидно: каждая команда, которая «вайб-кодит» продакшн-агента, используя непроверенные зависимости; каждый разработчик-одиночка, чей ноутбук автоматически запускает npm install; и каждый протокол, выпускающий функцию «автономного агента» с доступом по горячей клавише. Кто выигрывает, столь же ясно: поставщики решений по безопасности, рассматривающие ИИ-агентов для написания кода как поверхность атаки, а не как слой верификации, — ReversingLabs, Socket, Snyk, Sonatype — и реестры, которые, наконец, вынуждены внедрить аттестацию происхождения, ограниченный срок действия публикаций и обязательную двухфакторную аутентификацию.
Бывало ли такое раньше?
Да, но никогда с такой скоростью и таким дисбалансом. Уязвимость в цепочке поставок npm, проявившаяся через бэкдор в event-stream в 2018 году и компрометации coa/rc и ua-parser-js в 2021 году, доказала её слабость. Кампания «Contagious Interview» Северной Кореи годами заманивала крипто-разработчиков через фейковые собеседования и троянизированные тестовые задания по программированию. Что изменилось в 2026 году, так это устранение человеческого узкого места. Атакующему больше не нужно обманывать разработчика, чтобы заставить его установить вредоносный пакет; он обманывает эвристику выбора пакетов модели, и разработчик объединяет результат как «соавторский» коммит, который имеет отметку об ИИ-происхождении, которой многие рецензенты теперь рефлекторно доверяют.
Это SEO-отравление для кода — та же схема, которую люди используют для манипулирования результатами поиска Google, применённая к разрешению зависимостей. И у неё есть «брат», о котором в индустрии почти не говорят: «slopsquatting», когда агент ИИ галлюцинирует правдоподобное имя пакета во время генерации, а атакующие регистрируют это точное имя позже, так что следующий агент, выполняющий ту же задачу, извлекает ловушку. Уязвимость не в модели. Она в конвейере, который даёт агенту полномочия добавлять зависимости и запускать скрипты установки без предварительной репутации или фильтрации вредоносного ПО.
Куда это приведёт через один-три года?
Первая волна защиты будет скучной и в основном эффективной: авторизация на уровне пакетов, обеспечение целостности lock-файлов и происхождения, изолированные установки, обработка постинсталляционных хуков по умолчанию как недоверенных, а также подключение фидов разведданных об угрозах в контекст кодингового агента. Вторая волна — вот где становится грязно. Атакующие последуют за доверием вверх по цепочке — в веса моделей, данные для дообучения и MCP-серверы, соединительную ткань экономики агентов. Группа разведданных об угрозах Google уже задокументировала первый сгенерированный ИИ нулевой уязвимости, использованный в реальных условиях в 2026 году. Северная Корея не собирается останавливаться; кража криптовалют — это статья государственных доходов.
Мое предсказание: в течение трех лет вопрос «кто написал код и что он подтягивает» станет реальным вопросом безопасности, а «код — это закон» перестанет быть актуальной позицией. Автономные агенты, имеющие доступ к средствам, будут рассматриваться как привилегированные пользователи, подлежащие проверке на принцип наименьших привилегий, а стандарт аттестации цепочки поставок — криптоаналог SOC 2 — станет обязательным требованием для любого проекта, хранящего ключи. Выживут те проекты, которые будут относиться к своему графу зависимостей с тем же параноидальным вниманием, которое они ранее проявляли к своим смарт-контрактам.
Что это значит для трейдеров?
Не цена — риск. Стратегический вывод заключается в пересмотре приоритетов того, где ваш капитал фактически подвергается воздействию. Если вы используете или полагаетесь на ботов и агентов, которые имеют доступ к ключам, задайте неудобный вопрос: кто или что добавило их зависимости, и может ли этот агент добавить новый пакет без одобрения человеком? Внимательно изучите любой протокол, который предоставляет функцию автономного агента с хранением ключей в горячем кошельке — радиус поражения новый, большой и почти наверняка недооценен.
Конкретные шаги ничего не стоят и имеют сложный эффект: фиксируйте зависимости, коммитьте lock-файлы, включайте проверку происхождения пакетов, относитесь к postinstall-хукам как к ненадёжным, проверяйте каждый коммит, написанный ИИ, который затрагивает package.json, и регулярно меняйте файлы .env, SSH-ключи и API-токены на любой машине, где выполнялась команда npm install в период известного компрометирования. Альфа на этом рынке в ближайшие восемнадцать месяцев — это не токен. Это всё ещё наличие ваших ключей в конце цепочки.
Самая опасная вещь в крипто в 2026 году — это не баг в смарт-контракте, а доверие разработчика к своему ИИ при выборе «библиотеки валидации». Северная Корея не победила блокчейн; она победила человека, сидящего перед ним, используя его собственный инструмент продуктивности для грязной работы. Так что вот вопрос, от которого я не могу избавиться: мы одержимы тем, проверен ли код, но кто проверяет зависимости аудитора? Когда ваш автономный торговый агент имеет права на подписание и историю коммитов, написанную совместно с Claude, атаке вообще не нужно касаться цепи. Ей нужен только npm install.
FAQ
Что такое PromptMink? PromptMink — это кампания по компрометации цепочки поставок из Северной Кореи, названная ReversingLabs в апреле 2026 года. Она использовала двухуровневые npm-пакеты: чистый «приманочный» пакет, такой как @solana-launchpad/sdk, который молча подтягивал вредоносный второй слой — @validate-sdk/v2, который похищал учетные данные кошельков, SSH-ключи и исходный код.
Создал ли Anthropic или Claude вредоносное ПО на самом деле? Нет. Модель не писала вредоносный код; она приняла правдоподобно выглядящую зависимость для задачи программирования. Сбой произошел из-за конфигурации конвейера — агент с полномочиями добавлять зависимости и запускать скрипты установки, без предварительной проверки на вредоносное ПО или репутационного фильтра перед слиянием.
Что такое атака на Mastra? 17 июня 2026 года северокорейская группировка Sapphire Sleet захватила неаккаунт npm "ehindero" и переопубликовала более 140 пакетов в фреймворке AI-агентов @mastra за 88 минут. Каждый из них содержал зависимость-типожук easy-day-js с каплей postinstall, нацеленной на 166 расширений криптокошельков.
Как узнать, затронули ли вас инциденты? Проверьте ваши lock-файлы на наличие указанных пакетов (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js), запустите сканер зависимостей, ориентированный на обнаружение вредоносного ПО, и смените значения в файлах .env, SSH-ключи и API-токены на всех машинах, где выполнялась команда npm install в периоды компрометации.
Почему автономные крипто-агенты являются главной целью? Они находятся в непосредственной близости от приватных ключей, API-токенов и облачных учетных данных. Команда Unit 42 зафиксировала 37 кампаний и 497 вредоносных пакетов, направленных на инструменты для ИИ-агентов, в первой половине 2026 года — это наиболее ценная и наименее затратная поверхность атаки в экосистеме на сегодняшний день.
Источники для дальнейшего чтения: ReversingLabs — Claude добавляет вредоносное ПО в криптоагент (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — компрометация цепочки поставок Mastra npm (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), а также Cloud Security Alliance — исследовательская записка PromptMink (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain).