Amazon 已將 2025 年 9 月 npm 套件 debug 與 chalk 的劫持事件與北韓連結在一起。這起事件在公開紀錄中被視為加密貨幣竊盜已長達十個月：一名維護者透過仿冒 npm 網域遭到釣魚，導致至少 18 個套件被植入錢包竊取腳本，這些套件每週下載量超過 20 億次。

最初的 Aikido 與 Wiz 報告並未將此事件歸因於北韓。在 7 月 29 日發表的研究中，Amazon Threat Intelligence 以中等信心評估，2026 年 3 月 axios 遭入侵事件的幕後集團正是該事件的主使者。

根據 Amazon 所述，同一集團於 2025 年 3 月在名為 typo-crypto 的小型套件中植入特洛伊木馬檔案，早於 axios 事件整整一年。分析師是在追查 axios 調查期間出現的 2025 年註冊網域時發現此檔案。

下載量雖低，但該集團的技藝「與我們後來在攻擊更熱門套件時觀察到的情形一致」，Amazon 指出，並將此套件視為測試性行動。Amazon 的歸因涵蓋十二個月內三場攻擊行動中的四個已命名套件。它表示，這三場攻擊行動皆以相同方式開始：社會工程攻擊受信任的維護者，隨後發布更新。

Amazon 並未回報新的入侵事件。debug 與 chalk 的回應範圍、瀏覽器套件與快取，仍符合已公開的機制。唯一改變的是歸因。

Cybersecurity

Amazon 發表的證據比其主張薄弱。其文章提及跨攻擊行動的共通技藝、特洛伊化套件、安裝後鉤子（post-install hooks）與程式碼重用，以及重疊的命令與控制指標，但未說明哪些證據連結哪些事件。

此差距對於 debug 與 chalk 而言最為關鍵，Aikido 與 Wiz 記錄了一個瀏覽器端攔截器，會鉤住 fetch、XMLHttpRequest 與錢包 API，以便在使用者簽署前改寫交易地址。它不會在機器上留下持久性。與 axios 的酬載不同，此程式碼並不依賴 npm 安裝後鉤子。typo-crypto 也未使用此機制，而是等待觸發。

Google 獨立將 axios 歸因於 UNC1069，指出 WAVESHAPER.V2 後門以及該集團先前使用過的 AstrillVPN 節點。Microsoft 將同一入侵事件歸因於 Sapphire Sleet，該公司表示此活動與其他供應商追蹤的 UNC1069、STARDUST CHOLLIMA、BlueNoroff、Alluring Pisces、CageyChameleon 與 CryptoCore 重疊。

命名上的差距已解決；Amazon 的證據差距則否。在本文審閱的來源中，Amazon 仍是 debug、chalk 與 typo-crypto 入侵事件的唯一歸因來源。axios 的歸因在入侵後兩天內完成。另外兩起則是在事件發生十個月與十六個月後才被歸因。

Amazon 將此模式解讀為財務動機。Socket 當時告訴 The Hacker News，9 月的錢包總計竊取約 600 美元。

Amazon 描述的惡意檔案 core.js 偽裝成儲存庫中的合法 core-js 套件。它會在雜湊輸入以 0098273 開頭時觸發，並從硬編碼的 C2 提取特定作業系統的第二階段，該階段經過 base64 與 XOR 密碼（金鑰為 01042025）混淆。網路指標為 npmjs[.]store 與 216[.]74[.]123[.]126。

Amazon 的文章引用 OSV 記錄，但未指明版本。The Hacker News 已查核： MAL-2026-3400 辨識 [email protected]，歸功於 Amazon Inspector，並於 5 月 8 日發布，距歸因時間近三個月。

The Hacker News 於 2026 年 7 月 30 日查核註冊表。[email protected] 仍可發布且仍可安裝。它未宣告任何安裝腳本，因此下載本身不會執行任何操作。npm 提供的 tarball 與註冊表自身的完整性雜湊相符。

註冊表列出一個版本，建立與發布時間相隔 204 毫秒，日期為 2025 年 3 月 31 日。發布帳戶與套件作者欄位中指定的開發者不符。其描述與關鍵字來自 crypto-js，版本比 crypto-js 最新版本 4.2.0 還超前一個發行版。crypto-js 是與 core-js（該檔案所冒充的項目）不同的專案。

此記錄不符合 Amazon 所描述的所有三場攻擊行動皆為「維護者遭入侵後發布惡意更新」的模式。它符合從首次發布即偽裝成 crypto-js 的套件。此記錄無法顯示帳戶如何取得，只能證明沒有更早的版本可供更新。

Cybersecurity

該檔案在一個方面與文章相符：core.js 包含 Amazon 提及的觸發值與 XOR 金鑰。雜湊值則不相符。Amazon 將 core.js 的 SHA256 列為套件雜湊，而其所陳述的 core.js 雜湊在 tarball 的任何檔案中皆不存在。這可能是指標標記錯誤，或來自不同複本的雜湊。Amazon 的文章未說明是哪一種情況。

The Hacker News 已聯絡 Amazon，要求其說明哪些證據連結 2025 年 9 月的入侵事件，並聯絡 Aikido 詢問其對重新歸因的看法，待有回應將更新本篇報導。

npm 於 7 月 8 日發布 v12，預設關閉相依性生命週期腳本，移除 axios 所使用的預設安裝後路徑。但它並未關閉 debug、chalk 與 axios 背後的維護者入侵路徑。Sarah Gooding 為 Socket 撰寫的評論指出，「無論是安裝腳本封鎖還是 OIDC，都無法關閉這個入口。」

7 月 28 日，npm 開始掃描新發布的套件，在它們可安裝前偵測惡意軟體。此掃描僅適用於新發布的套件，不適用於註冊表上已有的套件。

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，以閱讀我們發布的更多獨家內容。