朝鲜的PromptMink和Mastra行动表明，AI编码代理已成为加密货币供应链攻击的新前沿，通过被污染的npm依赖项窃取钱包。
加密货币供应链攻击如今通过AI编码者潜入
2026年2月28日，一次例行的代码提交进入了名为openpaw-graveyard的开源Solana交易机器人。该提交添加了一个依赖项：@solana-launchpad/sdk。此次提交由Anthropic的Claude Opus共同完成。该依赖项看起来干净——README文档精美、TypeScript类型正确、具备真实的Solana功能。它还悄悄引入了@validate-sdk/v2，这是一款朝鲜的凭证窃取工具，为攻击者提供了通往项目钱包和资金的途径。加密货币供应链攻击已进入AI时代，而几乎没有人正在防御正确的层面。
ReversingLabs 这家威胁情报公司在发现该活动并将其命名为 PromptMink 后，用一句话概括了其中的转折：恶意包在欺骗 LLM 编码代理使用它们方面，比欺骗人类更为成功。这句话应该让当前所有在加密领域构建产品的人感到恐惧。
我想提出的论点是，它故意令人不适：加密货币行业花费了十年时间和数亿美元来审计区块链——智能合约、共识逻辑、多重签名——而真正的资金现在正被窃取，向上移动了一层，在开发者的键盘处，由开发者自己的 AI 助手亲手递送的恶意软件所窃取。我们一直在守护金库，而窃贼却学会了撬动金库所在房间的锁。
要点
- ReversingLabs 于 2026 年 4 月 29 日披露了 PromptMink：朝鲜黑客组织 Famous Chollima 利用 AI 编程助手，在实时自主交易代理中植入了一个窃取钱包的 npm 依赖包。
- 它并非孤立事件——2026年6月的Mastra攻击（Sapphire Sleet）在88分钟内污染了140多个AI框架软件包，而2026年上半年产生了497个恶意软件包，约为2025年全年软件包数量的4.5倍。
- 资金不再通过智能合约漏洞转移；它是在开发者的工作站上，通过软件供应链被窃取的。
- 行业竞相开发持有私钥的自主 AI 代理，这正为朝鲜早已熟知如何榨取的目标提供靶子。
为何攻击转移至链下？
PromptMink 是精准利用人机差距的教科书级案例。臭名昭著的 Chollima（也被追踪为 Shifty Corsair，并与 BlueNoroff 和 Sapphire Sleet 集群重叠）构建了一种双层包架构。第一层是诱饵——诸如 @solana-launchpad/sdk、@meme-sdk/trade 和 @validate-ethereum-address/core 等包，它们提供真实且有用的 Web3 功能，完全不包含恶意代码。第二层是一次性有效载荷——@validate-sdk/v2 及其同类包——它们执行实际的窃取操作，并且当某个注册表下架其中一个时，可以在几小时内被替换。
最令行业脊背发凉的部分在于诱饵的精心调校。ReversingLabs 将这种技术称为“LLM 优化（LLMO）滥用”：这些包经过工程化设计，拥有长篇且格式规范的 README 和精美的文档，使其看起来像是 AI 编程代理所接到的任何任务的理想答案。代码本身是“氛围编码”（vibe-coded）——由 LLM 生成——在生产文件中留下了诸如“混淆 README？”之类的遗留注释。人类开发者会注意到一个上周仅发布且仅有十二次下载的包，而代理看到的只是语义契合度和文档质量。
Payloads 随即升级。早期版本是简单的 JavaScript 信息窃取器，扫取 .env 和 .json 文件。后续变种发展成 80-MB 的 Node.js 单可执行二进制文件，再变为编译后的 Rust 加载项，植入攻击者 SSH 密钥以实现持久化，并外泄整个源代码树。在大约七个月内，该活动发布了超过 60 个唯一软件包，涵盖超过 300 个版本。Expel 的独立研究将 Q1 2026 单季度约 1200 万美元的确信加密货币盗窃与该活动联系起来。
当 AI 选择你的依赖项时，谁将胜出？
这不是一次孤立事件。这是一起有记录的恶意活动。2026年4月，同一攻击者阵营入侵了Axios HTTP客户端——这是全球下载量最大的JavaScript库之一——并通过它入侵了OpenAI的macOS应用签名工作流，导致ChatGPT桌面版、Codex和Atlas的代码签名证书被强制吊销。2026年6月，Sapphire Sleet劫持了休眠的npm账户"ehindero"，该账户属于前Mastra贡献者，其发布权限从未被撤销，并在88分钟内重新发布了@mastra AI代理框架中的140多个软件包。被投毒的有效载荷是通用dayjs库的仿冒品easy-day-js，它触发了一个postinstall安装后载荷，针对Windows、macOS和Linux上的166个加密货币钱包浏览器扩展。
Palo Alto Networks的Unit 42团队量化了这一趋势：2026年上半年发生了37起恶意活动，涉及497个针对AI代理工具链的恶意软件包——这大约是2025年全年活动量的2.6倍，软件包数量是4.5倍。自2025年1月以来，Socket已将1,700多个恶意软件包与npm、PyPI、Go、Rust和Packagist上的此类活动关联起来。
谁输显而易见：每个团队都在‘氛围编码’生产级代理，面对未经审核的依赖项；每个独自开发的开发者，其笔记本电脑在自动执行 npm install；以及每个协议都在推出带有热键访问权限的‘自主代理’功能。谁赢同样清晰：将 AI 编码代理视为攻击面而非验证层的安全供应商——ReversingLabs、Socket、Snyk、Sonatype——以及最终被迫实施来源证明、限定发布有效期和强制双因素认证的注册表。
这种情况以前发生过吗？
是的——但从未以如此快的速度或如此不对称的方式发生。2018年的event-stream后门事件以及2021年的coa/rc和ua-parser-js被劫持事件，证明了npm供应链存在薄弱环节。朝鲜的“Contagious Interview”活动花费数年时间，通过虚假的面试和特洛伊木马化的编程评估来诱骗加密货币开发者。2026年发生的变化在于移除了人为瓶颈。攻击者不再需要诱骗开发者安装错误的东西；他们诱骗模型的包选择启发式算法，而开发者则将结果作为“共同署名”的提交进行合并，该提交带有AI溯源标记，许多审查者现在会本能地信任它。
这是对代码的SEO投毒——人们用来操纵Google搜索结果的同一种手段，被应用于依赖项解析。而且它还有一个行业几乎很少提及的孪生问题：“slopsquatting”（垃圾域名抢注），即AI代理在生成过程中幻觉出一个看似合理的包名，攻击者随后注册该确切名称，以便下一个代理在“完成”相同任务时拉入陷阱。漏洞不在模型中。它存在于一个赋予代理权限以添加依赖项并运行安装脚本的管道中，且没有合并前的声誉检查或恶意软件门禁。
未来一到三年内，局势将如何发展？
第一波防御措施将显得枯燥且大多有效：包级授权、锁文件和来源验证、沙盒安装、默认将 postinstall 钩子视为不可信，以及将威胁情报数据接入编码代理的上下文。第二波则更加严峻。攻击者将沿着信任链向上游渗透——进入模型权重、微调数据和 MCP 服务器，即代理经济的连接纽带。Google 威胁情报组已记录到 2026 年首次在实际环境中使用的 AI 生成零日漏洞。朝鲜不会停止；加密货币盗窃是一条国家收入来源。
我的预测：在三年内，“谁编写了代码以及它引入了什么”将成为真正的安全问题，“代码即法律”将作为一种姿态而消亡。接触资金的自主代理将被视为特权用户，接受最小权限审查，而供应链证明标准——相当于加密领域的 SOC 2——将成为任何持有密钥的项目的必备条件。能够生存下来的项目，是那些对其依赖图保持与他们曾经对智能合约所持有的同等偏执态度的项目。
这对交易者意味着什么？
不是价格，而是风险。战略性的启示是重新优先考虑你的资本实际暴露的位置。如果你运行或依赖那些接触密钥的机器人和智能体，请提出一个令人不安的问题：是谁或什么添加了它们的依赖项，该智能体能否在不经过人类批准的情况下引入新软件包？仔细审查任何带有热密钥托管功能的自主智能体协议的协议——其爆炸半径是新的、巨大的，而且几乎肯定被错误定价。
具体的举措成本为零且能产生复利：固定依赖项，提交锁文件，启用软件包来源验证，将 postinstall 钩子视为不可信，审查每一个触及 package.json 的 AI 生成的提交，并在任何在已知被入侵时间窗口内运行过 npm install 的机器上轮换 .env 文件、SSH 密钥和 API 令牌。未来十八个月的市场优势不在于某个代币，而在于最终仍能掌控你的密钥。
2026 年加密货币领域最危险的事情并非智能合约漏洞——而是开发者盲目信任 AI 来选择“验证库”。朝鲜人并没有击败区块链；他们击败的是坐在屏幕前的那个人，利用其自身的生产力工具来干脏活。因此，我有一个挥之不去的问题：我们痴迷于代码是否经过审计，但谁在审计审计者所依赖的库？当你的自主交易代理拥有签名权限，且提交历史由 Claude 协助撰写时，攻击者根本无需触碰链上数据。他们只需要执行 npm install。
FAQ
什么是 PromptMink？PromptMink 是 ReversingLabs 于 2026 年 4 月命名的一起朝鲜供应链攻击活动。它使用了双层 npm 包——一个干净的“诱饵”包，如 @solana-launchpad/sdk，它会静默拉取恶意的第二层载荷 @validate-sdk/v2，该载荷会窃取钱包凭证、SSH 密钥和源代码。
Anthropic 或 Claude 真的创建了恶意软件吗？没有。该模型并未编写恶意代码；它接受了一个看似合理的编码任务依赖项。失败在于管道配置——一个拥有添加依赖项和运行安装脚本权限的代理，且没有预合并恶意软件或声誉审查机制。
什么是 Mastra 攻击？2026 年 6 月 17 日，朝鲜的 Sapphire Sleet 劫持了休眠的 npm 账户 "ehindero"，并在 88 分钟内重新发布了 @mastra AI 代理框架中的 140 多个软件包。每个软件包都携带了一个名为 easy-day-js 的拼写相似依赖项，其中包含一个 postinstall 加载器，针对 166 个加密货币钱包扩展程序。
我如何知道自己是否受到影响？审计你的 lockfiles 以查找被标记的包名（@validate-sdk/v2、@solana-launchpad/sdk、easy-day-js），运行专注于恶意软件的依赖项扫描器，并在任何在受侵害期间运行过 npm install 的机器上轮换 .env 值、SSH 密钥和 API 令牌。
为什么自主加密代理是主要目标？它们直接位于私钥、API 令牌和云凭据旁边。Unit 42 追踪了 2026 年上半年针对 AI 代理工具化的 37 个活动和 497 个恶意包——这是当今生态系统中价值最高、成本最低的 attack surface。
进一步阅读来源：ReversingLabs — Claude 向加密代理添加恶意软件（https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto），Microsoft Security Blog — Mastra npm 供应链遭入侵（https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/），以及 Cloud Security Alliance — PromptMink 研究笔记（https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain）。