Amazon, npm'deki debug ve chalk paket ele geçirmelerini Kuzey Kore'ye bağladı

Amazon, geçen yıl npm ekosistemini sarsan büyük tedarik zinciri saldırısının arkasındaki failin Kuzey Kore bağlantılı Sapphire Sleet (BlueNoroff / Stardust Chollima olarak da bilinen) grubu olduğunu açıkladı.

Saldırının seyri

Amazon’a göre operasyon Mart 2025’te daha küçük bir paket olan typo-crypto’nun truva atına dönüştürülmesiyle bir “deneme alanı” olarak başladı. Eylül 2025’te saldırı, haftalık 2 milyar indirmeyi aşan 18’den fazla pakete — özellikle yaygın kullanılan debug ve chalk kütüphanelerine — sıçradı ve iki saat içinde bulut ortamlarının tahmini %10’unu etkiledi. Mart 2026’da ise saldırganlar haftalık 100 milyondan fazla indirmeye sahip axios paketini hedef aldı.

Yöntem

Saldırganlar bir sıfırıncı-gün açığından veya npm altyapısını doğrudan hackleyerek değil, daha yavaş ama etkili bir yoldan ilerledi: bir paket bakımcısını sahte bir npm alan adı üzerinden oltalayarak kimlik bilgilerini çaldılar ve zaten geliştiricilerin güvendiği hesaplardan zehirli güncellemeler yayınladılar. debug ve chalk paketlerine gizlenen kod, tarayıcıdaki fetch, XMLHttpRequest ve cüzdan API’lerini ele geçirerek kullanıcı imzalamadan önce işlem adreslerini değiştiriyordu.

Neden önemli

Saldırının teknik karmaşıklıktan çok sosyal mühendislik ve hesap güveni üzerinden yürütülmüş olması, açık kaynak tedarik zincirinde asıl kırılgan noktanın kod kalitesi değil, bakımcı hesaplarının güvenliği olduğunu bir kez daha gösteriyor — milyonlarca projenin dolaylı olarak bağımlı olduğu küçük yardımcı paketler dahil.