Amazon atribui à Coreia do Norte sequestro dos pacotes npm debug e chalk ocorrido em 2025

A Amazon afirmou que o sequestro dos populares pacotes debug e chalk, ocorrido em setembro de 2025, foi conduzido por um grupo de hackers ligado à Coreia do Norte. A nova atribuição amplia uma investigação que, até então, era tratada como um ataque voltado ao roubo de criptomoedas, sem identificação pública dos responsáveis.

Em relatório publicado em 29 de julho, a equipe de inteligência da Amazon avaliou, com confiança moderada, que o mesmo grupo responsável pelo comprometimento do pacote axios, em março de 2026, também esteve por trás do incidente envolvendo debug e chalk.

O ataque original ocorreu após um mantenedor ser vítima de phishing por meio de um domínio falso semelhante ao do npm. Os invasores publicaram versões maliciosas em pelo menos 18 pacotes, que juntos somavam mais de 2 bilhões de downloads semanais. Segundo análises anteriores da Aikido e da Wiz, o código interceptava transações de carteiras de criptomoedas em navegadores, alterando os endereços de destino antes da confirmação pelo usuário.

A Amazon também relacionou uma terceira campanha envolvendo o pacote typo-crypto, publicado em março de 2025. De acordo com a empresa, o pacote funcionou como um teste das técnicas que mais tarde seriam empregadas em ataques contra projetos muito mais populares. A análise identifica um padrão comum nas três campanhas: engenharia social contra mantenedores confiáveis seguida da publicação de versões comprometidas.

Apesar da nova atribuição, a Amazon não apresentou evidências detalhadas que liguem diretamente cada incidente ao mesmo grupo. O relatório menciona semelhanças em técnicas utilizadas, reutilização de código, indicadores de comando e controle (C2) e pacotes trojanizados, mas não especifica quais evidências sustentam cada associação.

O caso do debug e chalk chama atenção porque o mecanismo utilizado difere do observado no ataque ao axios. Enquanto o comprometimento do axios explorava scripts executados durante a instalação do pacote (post-install), o código malicioso presente em debug e chalk atuava diretamente no navegador, interceptando chamadas das APIs fetch, XMLHttpRequest e de carteiras de criptomoedas, sem estabelecer persistência no sistema.

A atribuição ao grupo norte-coreano também é reforçada por análises de outras empresas sobre o incidente envolvendo o axios. O Google associou o ataque ao grupo UNC1069, enquanto a Microsoft atribuiu a campanha ao Sapphire Sleet, grupo que também é conhecido por nomes como BlueNoroff, STARDUST CHOLLIMA, CryptoCore, Alluring Pisces e CageyChameleon.

A própria Aikido, responsável por detectar o comprometimento de debug e chalk em 2025, afirmou que já associava esses ataques à Coreia do Norte havia algum tempo. Segundo a empresa, a relação entre os casos já havia sido apresentada em publicações técnicas, conferências e podcasts, sendo considerada amplamente conhecida entre pesquisadores especializados em segurança da cadeia de suprimentos.

A investigação também revelou inconsistências envolvendo o pacote typo-crypto. Embora a Amazon afirme que todas as campanhas começaram com o comprometimento de mantenedores, os registros do npm mostram que esse pacote possuía apenas uma versão publicada, criada e disponibilizada em um intervalo de apenas 204 milissegundos. Isso indica que o projeto pode ter sido criado diretamente para se passar pelo legítimo crypto-js, e não resultado do comprometimento de um projeto existente.

Enquanto a discussão sobre a atribuição continua, o npm vem adotando medidas para reduzir ataques à cadeia de suprimentos. Em julho, a plataforma passou a desabilitar, por padrão, scripts executados durante a instalação de dependências na versão 12 do gerenciador de pacotes e iniciou a análise automática de novos pacotes publicados antes de disponibilizá-los aos usuários. No entanto, especialistas alertam que essas mudanças não impedem ataques baseados no comprometimento de contas de mantenedores.