A Amazon atribuiu a um grupo de hackers ligado ao governo da Coreia do Norte uma série de ataques à cadeia de suprimentos de software que comprometeram populares pacotes da plataforma npm entre 2025 e 2026. Segundo a empresa, os incidentes envolvendo as bibliotecas Debug, Chalk, Axios e typo-crypto fazem parte de uma única operação conduzida pelo grupo conhecido como Sapphire Sleet (também chamado de BlueNoroff ou Stardust Chollima).
De acordo com a equipe de inteligência da Amazon, a campanha começou em março de 2025, quando os invasores comprometeram o pacote typo-crypto como um teste para técnicas que seriam utilizadas posteriormente em ataques de maior impacto. Em setembro de 2025, os criminosos conseguiram inserir código malicioso nos pacotes Debug e Chalk, amplamente utilizados por desenvolvedores JavaScript. Já em março de 2026, o alvo foi o Axios, uma das bibliotecas mais populares do ecossistema npm, com mais de 100 milhões de downloads semanais.
Segundo a investigação, os hackers não exploraram falhas técnicas na plataforma npm. Em vez disso, utilizaram engenharia social para conquistar a confiança dos mantenedores dos projetos de código aberto e, após obter acesso às contas, publicaram atualizações contaminadas que foram distribuídas automaticamente aos usuários.
A Amazon afirma possuir confiança moderada na atribuição ao Sapphire Sleet, baseada na reutilização de código, na infraestrutura de comando e controle (C2) e em táticas semelhantes observadas nos diferentes ataques. A empresa acredita que a operação teve motivação financeira, já que comprometer pacotes extremamente populares permite atingir milhares de organizações simultaneamente por meio da cadeia de suprimentos de software.
Outro ponto destacado pelos pesquisadores é o papel da inteligência artificial na evolução dessas campanhas. Segundo a Amazon, ferramentas de IA têm facilitado a criação de identidades falsas de desenvolvedores, documentação convincente e contribuições legítimas para projetos de código aberto, tornando mais difícil identificar invasores antes que consigam acesso aos repositórios.
Especialistas alertam que o caso reforça a necessidade de fortalecer a segurança da cadeia de suprimentos de software. Entre as recomendações estão o monitoramento contínuo de dependências, validação de atualizações de bibliotecas, uso de assinaturas digitais, revisão de permissões dos mantenedores e adoção de ferramentas capazes de detectar pacotes comprometidos antes da implantação em ambientes de produção.
