แคมเปญ PromptMink และ Mastra ของเกาหลีเหนือแสดงให้เห็นว่าเอเจนต์เขียนโค้ด AI กลายเป็นแนวหน้าใหม่ของการโจมตีห่วงโซ่อุปทานคริปโตฯ โดยขโมยกระเป๋าเงินผ่าน npm dependencies ที่ถูกทำให้เป็นพิษ
การโจมตีห่วงโซ่อุปทานคริปโตกำลังก้าวเข้ามาผ่านโปรแกรมเมอร์ AI
เมื่อวันที่ 28 กุมภาพันธ์ 2026 การคอมมิตโค้ดตามปกติได้ปรากฏในบอทเทรดโอเพนซอร์สของ Solana ชื่อว่า openpaw-graveyard มันเพิ่มดีเพนเดนซีเดียวคือ @solana-launchpad/sdk การคอมมิตนี้ร่วมเขียนโดย Claude Opus ของ Anthropic ดีเพนเดนซีดูสะอาด — มี README ที่ประณีต, ประเภท TypeScript ที่ถูกต้อง, ฟังก์ชันการทำงาน Solana จริง ๆ แต่มันก็ดึง @validate-sdk/v2 ซึ่งเป็นมัลแวร์ขโมยข้อมูลรับรองจากเกาหลีเหนือเข้ามาอย่างเงียบ ๆ ซึ่งมอบเส้นทางให้แก่นักปฏิบัติการเข้าถึงกระเป๋าเงินและเงินทุนของโปรเจกต์ การโจมตีห่วงโซ่อุปทานคริปโตได้ก้าวเข้าสู่ยุค AI แล้ว และแทบไม่มีใครป้องกันเลเยอร์ที่ถูกต้อง
ReversingLabs บริษัทข่าวกรองภัยคุกคามที่เปิดเผยแคมเปญนี้และตั้งชื่อว่า PromptMink ได้สรุปประเด็นสำคัญในหนึ่งบรรทัดว่า แพ็กเกจที่เป็นอันตราย "ประสบความสำเร็จในการหลอกเอเจนต์การเขียนโค้ด LLM มากกว่ามนุษย์ให้ใช้งานมัน" ประโยคนี้ควรทำให้ทุกคนที่กำลังพัฒนาในวงการคริปโตหวาดกลัว
นี่คือข้อโต้แย้งที่ผมต้องการนำเสนอ และมันถูกออกแบบมาให้รู้สึกไม่สบายใจ: วงการคริปโตใช้เวลาหนึ่งทศวรรษและเงินหลายร้อยล้านดอลลาร์ในการตรวจสอบบล็อกเชน — สัญญาอัจฉริยะ ตรรกะฉันทามติ มัลติซิกเนเจอร์ — ในขณะที่เงินจริง ๆ กำลังถูกขโมยในชั้นที่สูงขึ้นหนึ่งชั้น ที่คีย์บอร์ดของนักพัฒนา โดยมัลแวร์ที่ผู้ช่วย AI ของนักพัฒนาเองเป็นผู้ส่งมอบให้โดยตรง เราป้องกันห้องนิรภัยมาโดยตลอด ในขณะที่โจรเรียนรู้วิธีงัดกุญแจของห้องที่ห้องนิรภัยตั้งอยู่
ข้อสรุปสำคัญ
- ReversingLabs ได้เปิดเผยข้อมูลเกี่ยวกับ PromptMink เมื่อวันที่ 29 เมษายน 2026: กลุ่ม North Korean ชื่อ Famous Chollima ได้ใช้ผู้ช่วยเขียนโค้ด AI เพื่อติดตั้ง npm dependency ที่ขโมยกระเป๋าเงินลงใน autonomous trading agent ที่ใช้งานจริง
- ไม่ใช่แบบแยกส่วน — การโจมตี Mastra ในเดือนมิถุนายน 2026 (Sapphire Sleet) ได้ทำให้แพ็กเกจเฟรมเวิร์ก AI มากกว่า 140 ตัวปนเปื้อนภายใน 88 นาที และครึ่งแรกของปี 2026 มีการผลิตแพ็กเกจที่เป็นอันตราย 497 ตัว ซึ่งคิดเป็นประมาณ 4.5 เท่าของปริมาณแพ็กเกจทั้งหมดในปี 2025
- เงินไม่ได้เคลื่อนที่ผ่านช่องโหว่ในสัญญาอัจฉริยะอีกต่อไป แต่ถูกขโมยที่สถานีทำงานของนักพัฒนา ผ่านห่วงโซ่อุปทานซอฟต์แวร์
- การแข่งขันในอุตสาหกรรมเพื่อสร้างเอเจนต์ AI อัตโนมัติที่ถือกุญแจส่วนตัวกำลังสร้างเป้าหมายที่เกาหลีเหนือรู้วิธีเจาะอยู่แล้ว
ทำไมการโจมตีจึงย้ายไปนอกเชน?
PromptMink เป็นตัวอย่างชั้นยอดของการเจาะช่องว่างระหว่างมนุษย์และเครื่องจักร Chollima ที่มีชื่อเสียง (ซึ่งยังถูกติดตามในชื่อ Shifty Corsair และมีความทับซ้อนกับกลุ่ม BlueNoroff และ Sapphire Sleet) ได้สร้างสถาปัตยกรรมแพ็กเกจแบบสองชั้น ชั้นแรกคือเหยื่อล่อ — แพ็กเกจเช่น @solana-launchpad/sdk, @meme-sdk/trade และ @validate-ethereum-address/core ซึ่งจัดส่งฟังก์ชันการทำงาน Web3 ที่แท้จริงและมีประโยชน์ โดยไม่มีโค้ดที่เป็นอันตรายเลย ชั้นที่สองคือแพโหลดแบบใช้แล้วทิ้ง — @validate-sdk/v2 และพี่น้องของมัน — ซึ่งทำหน้าที่ขโมยข้อมูลจริงๆ และสามารถถูกสลับเปลี่ยนได้ในเวลาไม่กี่ชั่วโมง whenever ที่เรจิสทรีปิดการใช้งานแพ็กเกจใดแพ็กเกจหนึ่ง down.
ส่วนที่ควรทำให้เลือดในวงการเย็นชาคือวิธีการปรับแต่งเหยื่อล่อ ReversingLabs เรียกเทคนิคนี้ว่า "การละเมิดการปรับให้เหมาะสมด้วย LLM (LLMO)": แพ็กเกจเหล่านี้ถูกออกแบบมาพร้อม README ที่ยาวและจัดรูปแบบอย่างดี รวมถึงเอกสารที่ประณีต เพื่อให้ดูเหมือนเป็นคำตอบในอุดมคติสำหรับงานใดๆ ที่เอเจนต์เขียนโค้ดด้วย AI ได้รับมอบหมาย โค้ดเองก็ถูก "เขียนตามอารมณ์ (vibe-coded)" — สร้างโดย LLM — ทำให้เหลือร่องรอยเช่นความคิดเห็นที่ถามว่า "ควรทำให้ README เข้าใจยากขึ้นไหม?" อยู่ในไฟล์ที่ใช้งานจริง นักพัฒนาที่เป็นมนุษย์อาจสังเกตเห็นแพ็กเกจที่มีการดาวน์โหลดเพียงสิบสองครั้งและเผยแพร่เมื่อสัปดาห์ที่แล้ว แต่เอเจนต์เห็นเพียงความสอดคล้องเชิงความหมายและคุณภาพของเอกสารเท่านั้น
จากนั้น_payloads_ก็ทวีความรุนแรงขึ้น_เวอร์ชันแรกเริ่มเป็นโปรแกรมขโมยข้อมูลแบบ JavaScript_ที่สแกนไฟล์_.env_และ_.json_อย่างรวดเร็ว_ในภายหลัง_ตัวแปรที่พัฒนาขึ้นกลายเป็นไฟล์ไบนารีแบบ single-executable ขนาด 80 เมกะไบต์ของ Node.js_ตามด้วยส่วนเสริมที่เขียนด้วย Rust_ซึ่งติดตั้ง SSH keys ของผู้โจมตีเพื่อคงสถานะการเข้าถึงและดึงข้อมูล source tree ทั้งหมดออก_ในช่วงเวลาประมาณเจ็ดเดือน_แคมเปญนี้ได้เผยแพร่แพ็กเกจที่ไม่ซ้ำกันมากกว่า 60 ตัว_ครอบคลุมกว่า 300 เวอร์ชัน_การวิจัยอิสระของ Expel_เชื่อมโยงการขโมยคริปโทเคอร์เรนซีที่ยืนยันแล้วมูลค่าประมาณ 12 ล้านดอลลาร์_กับปฏิบัติการนี้_เฉพาะในไตรมาสที่ 1 ของปี 2026
ใครจะเป็นผู้ชนะเมื่อ AI เลือก dependencies ให้คุณ?
นี่ไม่ใช่เหตุการณ์เดี่ยว แต่เป็นแคมเปญที่มีการบันทึกไว้ ในเดือนเมษายน 2026 ผู้โจมตีในวงโคจรเดียวกันได้เจาะระบบ Axios HTTP client — ซึ่งเป็นหนึ่งในไลบรารี JavaScript ที่ถูกดาวน์โหลดมากที่สุดในโลก — และผ่านมันเข้าไปยังเวิร์กโฟลว์การลงนามแอปบน macOS ที่ OpenAI บังคับให้เพิกถอนใบรับรองการลงนามโค้ดสำหรับ ChatGPT Desktop, Codex และ Atlas ในเดือนมิถุนายน 2026 Sapphire Sleet ได้ยึดครองบัญชี npm ที่ไม่ใช้งานชื่อ "ehindero" ซึ่งเป็นผู้มีส่วนร่วมเก่าของ Mastra ที่สิทธิ์การเผยแพร่ไม่เคยถูกเพิกถอน และเผยแพร่แพ็กเกจมากกว่า 140 แพ็กเกจทั่วเฟรมเวิร์ก AI-agent @mastra ภายในระยะเวลา 88 นาที โพลลูดที่ปนเปื้อน ซึ่งเป็นชื่อเลียนแบบไลบรารี dayjs ที่พบได้ทั่วไปชื่อ easy-day-js ได้ปล่อยดรอpper postinstall ที่กำหนดเป้าหมายไปที่ส่วนขยายเบราว์เซอร์กระเป๋าเงินคริปโตเคอเรนซี 166 ตัวทั่ว Windows, macOS และ Linux
Unit 42 ของ Palo Alto ได้ให้ตัวเลขกับแนวโน้มนี้: ครึ่งแรกของปี 2026 มีแคมเปญ 37 แคมเปญและแพ็กเกจที่เป็นอันตราย 497 แพ็กเกจที่มุ่งเป้าไปที่เครื่องมือ AI-agent — ซึ่งคิดเป็นประมาณ 2.6 เท่าของแคมเปญและ 4.5 เท่าของปริมาณแพ็กเกจของทั้งปี 2025 รวมกัน Socket ได้เชื่อมโยงแพ็กเกจที่เป็นอันตรายมากกว่า 1,700 แพ็กเกจกับกิจกรรมนี้ทั่ว npm, PyPI, Go, Rust และ Packagist ตั้งแต่เดือนมกราคม 2025
ผู้เสียเปรียบคือใคร? ชัดเจน: ทุกทีมที่ "โค้ดด้วยอารมณ์" สร้าง production agent โดยพึ่งพา dependencies ที่ไม่ผ่านการตรวจสอบ ทุก developer คนเดียวที่แล็ปท็อปรัน npm install แบบอัตโนมัติ และทุกโปรโตคอลที่ปล่อยฟีเจอร์ "autonomous agent" พร้อมการเข้าถึงผ่าน hot-key ผู้ชนะก็ชัดเจนไม่แพ้กัน: ผู้ขายบริการด้านความปลอดภัยที่มอง AI coding agents เป็น attack surface แทนที่จะเป็น verification layer — ReversingLabs, Socket, Snyk, Sonatype — และ registries ที่ถูกบังคับให้ทำ provenance attestation, กำหนดอายุการใช้งานของ publish ที่จำกัดขอบเขต, และบังคับใช้ two-factor authentication ในที่สุด
เคยเกิดเหตุการณ์แบบนี้มาก่อนหรือไม่?
ใช่ — แต่ไม่เคยเร็วขนาดนี้หรือมีความไม่สมมาตรขนาดนี้ ช่องโหว่ backdoor ใน event-stream ปี 2018 และการถูกโจมตีผ่าน coa/rc และ ua-parser-js ในปี 2021 พิสูจน์ให้เห็นว่าห่วงโซ่อุปทานของ npm อ่อนแอ แคมเปญ Contagious Interview ของเกาหลีเหนือใช้เวลาหลายปีในการล่อลวงนักพัฒนาคริปโตผ่านสัมภาษณ์งานปลอมและการประเมินการเขียนโปรแกรมที่มีโทรจันแฝงอยู่ สิ่งที่เปลี่ยนแปลงในปี 2026 คือการกำจัดคอขวดของมนุษย์ ผู้โจมตีไม่จำเป็นต้องหลอกนักพัฒนาให้ติดตั้งสิ่งที่ไม่ถูกต้องอีกต่อไป แต่พวกเขาหลอก heuristics การเลือกแพ็กเกจของโมเดล และนักพัฒนาก็รวมผลลัพธ์นั้นเป็น commit ที่ "ร่วมเขียน" ซึ่งติดตราแหล่งที่มาของ AI ที่ผู้ตรวจสอบจำนวนมากไว้วางใจโดยอัตโนมัติ
นี่คือการ poison SEO สำหรับโค้ด — ใช้กลยุทธ์เดียวกันที่คนใช้เพื่อจัดการผลลัพธ์ของ Google นำมาประยุกต์ใช้กับการแก้ dependency และยังมี sibling ที่อุตสาหกรรมแทบไม่พูดถึงเลย นั่นคือ "slopsquatting" ซึ่ง AI agent จินตนาการชื่อแพ็กเกจที่ดูสมเหตุสมผลระหว่างกระบวนการสร้าง และผู้โจมตีลงทะเบียนชื่อนั้นทันที เพื่อให้ agent ตัวถัดไปที่จะ "เติมเต็ม" งานเดียวกันดึงกับดักนั้นมา ความอ่อนแอไม่ได้เกิดจากโมเดล แต่เกิดจาก pipeline ที่มอบอำนาจให้ agent เพิ่ม dependency และรัน install scripts โดยไม่มี reputation ก่อน merge หรือ gate ป้องกันมัลแวร์
ทิศทางของเรื่องนี้จะเป็นอย่างไรในอีก 1 ถึง 3 ปีข้างหน้า?
คลื่นลูกแรกของการป้องกันจะน่าเบื่อและมีประสิทธิภาพเป็นหลัก: การอนุญาตแบบต่อแพ็กเกจ, การบังคับใช้ lockfile และ provenance, การติดตั้งในสภาพแวดล้อม sandbox, การจัดการ postinstall hooks ว่าเป็น untrusted โดยค่าเริ่มต้น, และการเชื่อมต่อ threat-intel feeds เข้ากับบริบทของ coding agent คลื่นลูกที่สองคือจุดที่สถานการณ์จะเลวร้ายลง ผู้โจมตีจะติดตามความไว้วางใจไปยัง upstream — เข้าไปใน model weights, ข้อมูล fine-tuning, และ MCP servers ซึ่งเป็นเนื้อเยื่อเชื่อมต่อของระบบนิเวศ agent กลุ่ม Threat Intelligence ของ Google ได้บันทึกการโจมตี zero-day ที่สร้างโดย AI ครั้งแรกที่ใช้จริงในตลาดในปี 2026 แล้ว เกาหลีเหนือจะไม่หยุดยั้ง; การขโมยคริปโทเคอร์เรนซีเป็นแหล่งรายได้ของรัฐ
การคาดการณ์ของฉัน: ภายในสามปี คำถามด้านความปลอดภัยที่แท้จริงจะเปลี่ยนเป็น "ใครเป็นผู้เขียนโค้ด และโค้ดนั้นดึงอะไรเข้ามา" และแนวคิด "โค้ดคือกฎหมาย" จะหมดความสำคัญในฐานะแนวทางปฏิบัติ ตัวแทนอัตโนมัติที่เข้าถึงเงินจะถูกปฏิบัติเสมือนผู้ใช้ที่ได้รับสิทธิ์พิเศษ ซึ่งต้องผ่านการตรวจสอบตามหลักการให้สิทธิ์น้อยที่สุด และมาตรฐานการรับรองห่วงโซ่อุปทาน — ซึ่งเทียบเท่า SOC 2 ในวงการคริปโต — จะกลายเป็นข้อกำหนดพื้นฐานสำหรับทุกโครงการที่ถือกุญแจ โครงการที่รอดชีวิตคือโครงการที่จัดการกราฟการพึ่งพา (dependency graph) ด้วยความระมัดระวังอย่างเดียวกันกับที่เคยมีต่อสัญญาอัจฉริยะ (smart contracts) ของพวกเขา
สิ่งนี้หมายความว่าอย่างไรสำหรับเทรดเดอร์?
ไม่ใช่ราคา — แต่เป็นความเสี่ยง ข้อสรุปเชิงกลยุทธ์คือการจัดลำดับความสำคัญใหม่ว่าเงินทุนของคุณมีความเสี่ยงที่แท้จริงอยู่ที่ไหน หากคุณใช้งานหรือพึ่งพาบอทและเอเจนต์ที่เข้าถึงคีย์ ให้ถามคำถามที่อาจไม่สบายใจ: ใครหรืออะไรเพิ่มดีเพนเดนซีของพวกมัน และเอเจนต์นั้นสามารถเพิ่มแพ็กเกจใหม่ได้โดยไม่ต้องมีการอนุมัติจากมนุษย์หรือไม่ ตรวจสอบโปรโตคอลใด ๆ ที่เปิดตัวฟีเจอร์เอเจนต์อัตโนมัติพร้อมการถือครองคีย์แบบร้อน — ขนาดของความเสียหายเป็นสิ่งที่ใหม่ มีขนาดใหญ่ และแทบจะแน่นอนว่ามีการประเมินมูลค่าผิดพลาด
การเคลื่อนไหวที่เป็นรูปธรรมมีต้นทุนเป็นศูนย์และสร้างผลทบต้น: ตรึงดีเพนเดนซี, บันทึกไฟล์ล็อก, เปิดใช้งานแหล่งที่มาของแพ็กเกจ, ถือว่าฮุก postinstall เป็นสิ่งที่ไม่น่าเชื่อถือ, ตรวจสอบทุกคอมมิตที่เขียนโดย AI ซึ่งแก้ไข package.json, และหมุนเวียนไฟล์ .env, คีย์ SSH และโทเค็น API บนเครื่องใด ๆ ที่รัน npm install ในช่วงเวลาที่ทราบถึงการถูกบุกรุก อัลฟาในตลาดนี้สำหรับสิบแปดเดือนข้างหน้าไม่ใช่โทเค็น แต่คือการที่ยังคงมีคีย์ของคุณอยู่ในมือเมื่อทุกอย่างจบลง
สิ่งที่เป็นอันตรายที่สุดในคริปโตในปี 2026 ไม่ใช่ช่องโหว่ใน smart contract — แต่เป็นการที่นักพัฒนาไว้วางใจ AI ของพวกเขาให้เลือก "validation library" เกาหลีเหนือไม่ได้เอาชนะบล็อกเชน; พวกเขาเอาชนะบุคคลที่นั่งอยู่หน้าเครื่อง โดยยืมเครื่องมือผลิตภาพของตัวเองมาทำงานสกปรก ดังนั้น คำถามที่ผมไม่สามารถขจัดทิ้งได้คือ: เราหมกมุ่นอยู่กับการตรวจสอบว่าโค้ดได้รับการตรวจสอบแล้วหรือยัง แต่ใครกันที่ตรวจสอบ dependencies ของผู้ตรวจสอบ? เมื่อตัวแทนการซื้อขายอัตโนมัติของคุณมีสิทธิ์ลงนามและประวัติ commit ที่เขียนร่วมกับ Claude การโจมตีก็ไม่จำเป็นต้องแตะบล็อกเชนเลย มันแค่ต้องการ npm install เท่านั้น
FAQ
PromptMink คืออะไร? PromptMink คือแคมเปญ supply chain ของเกาหลีเหนือที่ ReversingLabs ตั้งชื่อในเดือนเมษายน 2026 มันใช้แพ็กเกจ npm สองชั้น — แพ็กเกจ "เหยื่อ" ที่ดูสะอาดเช่น @solana-launchpad/sdk ซึ่งดึง payload ชั้นสองที่เป็นอันตรายอย่างเงียบๆ คือ @validate-sdk/v2 ซึ่งลักลอบนำข้อมูลรับรองกระเป๋าเงิน คีย์ SSH และซอร์สโค้ดออกไป
Anthropic หรือ Claude สร้างมัลแวร์จริงหรือไม่? ไม่ โมเดลไม่ได้เขียนโค้ดที่เป็นอันตราย แต่ยอมรับ dependency ที่ดูสมเหตุสมผลสำหรับงานเขียนโค้ด ความล้มเหลวเกิดจากการกำหนดค่า pipeline — มี agent ที่มีสิทธิ์เพิ่ม dependency และรันสคริปต์ติดตั้ง โดยไม่มีกลไกตรวจสอบมัลแวร์หรือชื่อเสียงก่อนการรวมโค้ด
การโจมตี Mastra คืออะไร? เมื่อวันที่ 17 มิถุนายน 2026 กลุ่ม Sapphire Sleet จากเกาหลีเหนือได้ยึดบัญชี npm ที่ไม่ใช้งานชื่อ "ehindero" และเผยแพร่แพ็กเกจใหม่กว่า 140 ตัวในเฟรมเวิร์ก AI agent @mastra ภายใน 88 นาที แต่ละแพ็กเกจมี dependency ที่เลียนแบบชื่อ (typosquat) ชื่อ easy-day-js พร้อม dropper ที่รันหลังติดตั้ง (postinstall) ซึ่งกำหนดเป้าหมายไปที่ส่วนขยายกระเป๋าเงินคริปโตเคอเรนซี 166 รายการ
ฉันจะรู้ได้อย่างไรว่าฉันได้รับผลกระทบ? ตรวจสอบไฟล์ lockfiles ของคุณสำหรับชื่อแพ็กเกจที่ถูกทำเครื่องหมาย (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js) รันสแกนเนอร์ตรวจสอบ dependency ที่มุ่งเน้นไปที่มัลแวร์ และหมุนค่า .env, SSH keys และ API tokens บนเครื่องใดๆ ที่รัน npm install ในช่วงเวลาที่ระบบถูกบุกรุก
ทำไม autonomous crypto agents จึงเป็นเป้าหมายหลัก? พวกมันอยู่ติดกับ private keys, API tokens และ cloud credentials โดยตรง Unit 42 ติดตาม 37 แคมเปญและ 497 แพ็กเกจที่เป็นอันตรายซึ่งมุ่งเป้าไปที่เครื่องมือ AI-agent ในช่วงครึ่งแรกของปี 2026 — ซึ่งเป็น attack surface ที่มีมูลค่าสูงสุดและใช้ความพยายามน้อยที่สุดในระบบนิเวศปัจจุบัน
แหล่งข้อมูลสำหรับการศึกษาเพิ่มเติม: ReversingLabs — Claude เพิ่มมัลแวร์ลงในเอเจนต์คริปโต (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — การถูกโจมตีห่วงโซ่อุปทาน npm ของ Mastra (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), และ Cloud Security Alliance — บันทึกการวิจัย PromptMink (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain)。