LONDON (IT BOLTWISE) – Ein mutmaßlich nordkoreanischer Akteur hat über die Open-Source-Lieferkette 140 npm-Pakete kompromittiert. Der Angriff lief über Typosquatting und das Übernehmen von Maintainer-Zugriffen, um Schadcode in die Abhängigkeiten vieler Projekte einzuschleusen. Besonders kritisch ist die Verbindung zu Wallet-Ökosystemen: Die Malware suchte gezielt nach Browser- und App-Erweiterungen. Für Unternehmen bedeutet das, dass KI- und Blockchain-nahe Software-Lieferketten künftig noch strikter abgesichert werden müssen.
Ein Lieferkettenangriff auf die npm-Ökosysteme zeigt erneut, wie verwundbar Open Source bleibt, wenn Identitäten und Veröffentlichungsprozesse an einzelnen Stellen kippen. Berichten zufolge soll die nordkoreanische Gruppe Sapphire Sleet, auch als BlueNoroff bekannt, ein Maintainer-Konto übernommen und eine typosquattete Abhängigkeit in den Paketfluss gebracht haben. Ziel waren dabei nicht einzelne Apps, sondern die Vertrauensannahme, dass Abhängigkeiten „automatisch“ sicher sind. Damit trifft der Vorfall gerade jene Organisationen besonders hart, die in modernen Softwarepipelines mit vielen schnellen Updates und automatisierten Builds arbeiten.
Technisch setzt der Angriff auf eine klassische, aber effektiv skalierende Kombination: Identitätsübernahme plus Typosquatting. Das kompromittierte Maintainer-Konto trug den Namen „ehindero“, von dem aus die bösartige Abhängigkeit „easy-day-js“ in Umlauf gebracht worden sein soll. Die Namensähnlichkeit zu der weit verbreiteten Bibliothek „dayjs“ senkt die Hürde für unbemerkte Installationen drastisch, weil Tippfehler oder unaufmerksame Review-Prozesse in der Praxis vorkommen. Insgesamt sollen dabei mehr als 140 npm-Pakete betroffen gewesen sein. Für die Branche ist das ein Reminder, dass Supply-Chain-Security heute nicht mehr nur „Dependency Scanning“, sondern auch Identitäts- und Veröffentlichungsintegrität bedeutet.
Aus einer Sicherheits-Engineering-Perspektive ist besonders relevant, wie der Schadcode nach erfolgreicher Ausführung Persistenz herstellt. Berichten zufolge durchsuchte die Malware infizierte Systeme gezielt nach 166 Wallet-Erweiterungen und zielte damit auf Benutzer- und Finanzkontexte ab, statt nur allgemeine Datenexfiltration zu betreiben. Zu den genannten Zielen gehören MetaMask, Phantom, Coinbase Wallet, Binance Wallet und TronLink. Persistenzmechanismen waren dabei betriebssystemabhängig: Unter Windows kamen Registry-Run-Keys und SYSTEM-Privileg-Dienste ebenso zum Einsatz wie Microsoft-Defender-Ausnahmen. Auf macOS wurden LaunchAgents genutzt, unter Linux systemd-Dienste.
Damit verschiebt sich der Fokus von einem reinen Paketproblem hin zu einer Plattformfrage: Welche Schutzschichten greifen im Zusammenspiel aus Betriebssystem, Endpoint-Security und Build-/Release-Automation? Microsoft habe zudem Folgeaktivitäten beobachtet, darunter eine PowerShell-Hintertür, die bereits früher mit Sapphire Sleet in Verbindung gebracht wurde. Historisch ist das kein Einzelfall, sondern folgt einem Muster, das die Security-Community seit Jahren dokumentiert: Angreifer wechseln von „Exploit in einem Produkt“ zu „Manipulation in der Lieferkette“, weil dadurch Reichweite und Zugriffsmöglichkeiten steigen. Die Meldung, dass Sapphire Sleet bereits im April 2026 an einem ähnlichen npm-Angriff auf die Bibliothek Axios beteiligt gewesen sein soll, unterstreicht diese Kontinuität.
Im Marktkontext zeigt sich außerdem, dass der Angriff nicht nur traditionelle Web-Stacks betrifft, sondern auch die Schnittstelle zu KI- und Web3-nahen Anwendungen. Experten warnen, dass KI-bezogene Software-Lieferketten zunehmend zum Ziel staatlich gestützter Operationen werden, weil moderne KI-Workflows häufig auf umfangreichen Dependency-Graphen basieren und Build-Systeme Änderungen automatisch integrieren. Für Unternehmen ist das ein Wettbewerbsfaktor: Wer MLOps- und CI/CD-Prozesse „cloud-native“ und zugleich sicher auslegt, reduziert das Risiko von Supply-Chain-Ereignissen. Tools und Wettbewerber wie Sonatype, Snyk oder GitHub-Mechanismen (z. B. Signaturen, Dependency-Alerts) sind zwar wichtige Bausteine, ersetzen aber nicht harte Regeln wie erlaubte Paketquellen, verifizierte Versionen und eine strengere Freigabe-Kette.
Gleichzeitig liefert die geopolitische Dimension weitere Einordnung. Beim G7-Gipfel in Évian-les-Bains im Juni 2026 haben Staats- und Regierungschefs laut Berichten ihre Forderungen nach gemeinsamen Maßnahmen gegen staatlich gestützte Kryptowährungsdiebstähle erneuert. Branchenforschung nennt für 2025 mindestens zwei Milliarden Euro erbeutete Kryptowährungen und schätzt den Gesamtwert gestohlener Vermögenswerte auf rund 6,75 Milliarden Euro. Zu den erwähnten spektakulären Angriffen zählen ein Diebstahl von 285 Millionen Euro beim Drift Protocol im April sowie ein 36-Millionen-Euro-Coup gegen das Humanity Protocol Anfang Juni. In diesem Umfeld wirkt ein npm-Lieferkettenangriff wie ein zusätzlicher Hebel: Er ermöglicht initialen Zugriff oder Token- und Credential-Abgriff, bevor Geldflüsse konkret werden.
Für die Praxis in Unternehmen heißt das, Security nicht als nachgelagerte Prüfung zu betrachten, sondern als Teil der Engineering-Architektur. Das umfasst mindestens die konsequente Prüfung von Typosquatting-Risiken in Abhängigkeiten, die Verifikation von Maintainer-/Publish-Zugriffen sowie die Absicherung der CI/CD-Pipelines gegen Manipulationen. Besonders wichtig sind Workflows, die nicht blind „latest“ oder unklare Versionen ziehen, sondern nur erlaubte Artefakte aus definierten Repositories, kombiniert mit reproduzierbaren Builds. In der Logik entspricht das dem Übergang von „Scannen, wenn es auffällt“ zu „Preventen, bevor es auffällt“ – ein Paradigmenwechsel, der auch KI-gestützte Entwicklungsprozesse beeinflusst, weil diese oft schneller auf neue Dependencies reagieren.
Regulatorisch und datenschutzseitig verschärft sich die Lage indirekt: Wenn Wallet-bezogene Malware Token oder Authentifizierungsdaten erbeutet, können betroffene Systeme Daten verarbeiten, die als personenbezogen oder als sicherheitskritisch gelten. Für Unternehmen in der EU bedeutet das, dass technische Maßnahmen zur Zugriffskontrolle und Datenminimierung mit organisatorischen Pflichten zusammenpassen müssen, etwa im Rahmen interner Risikoanalysen und Incident-Response-Prozesse. Auch wenn der Angriff „nur“ eine Code-Lieferkette betrifft, entstehen bei erfolgreichen Kompromittierungen reale Anforderungen an Nachweisbarkeit, Logging und die Bewertung von Datenabflüssen. So wird Supply-Chain-Security zugleich zu einem Governance-Thema.
Der Ausblick ist klar: Angreifer werden wahrscheinlicher weiterhin sowohl Open-Source-Releases als auch Paket-Maintainer-Identitäten als Angriffspunkte nutzen und dabei gezielt Schnittstellen zu Finanz- und Wallet-Ökosystemen instrumentieren. Für Entwickler bedeutet das mittelfristig mehr Disziplin bei Dependency-Reviews, aber auch Chancen für neue Sicherheitsinnovationen: Signierte Artefakte, bessere Policy-Engines für Abhängigkeitsfreigaben und verifizierbare Build-Prozesse werden stärker nachgefragt. Wenn KI-Workloads weiterhin auf dynamischen Bibliotheksgraphen aufsetzen, braucht es außerdem Tooling, das Supply-Chain-Anomalien schon im Modell- und Trainingspipeline-Umfeld erkennt. Unternehmen, die diese Entwicklung früh mitdenken, können Risiken nicht nur reduzieren, sondern auch ihre Lieferfähigkeit durch weniger Sicherheitsunterbrechungen absichern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Lieferkettenangriff auf npm: Nordkorea kompromittiert 140 Pakete" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Lieferkettenangriff auf npm: Nordkorea kompromittiert 140 Pakete" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Lieferkettenangriff auf npm: Nordkorea kompromittiert 140 Pakete« bei Google Deutschland suchen, bei Bing oder Google News!