Ethereum akıllı sözleşmeleri, zehirlenmiş NPM paketleri aracılığıyla kötü amaçlı yazılım indirten URL’leri barındırmak için suistimal ediliyor. Bu sayede saldırganlar, ikinci aşama kötü amaçlı yazılımları sisteme çekebiliyor. ReversingLabs, geliştirici sistemlerine indirme bağlantıları sağlayan iki zararlı paket (colortoolsv2, mimelib2) tespit etti.
-
Saldırı vektörü: Ethereum akıllı sözleşmeleri üzerinden barındırılan indirme URL’lerini kullanarak NPM paketlerinin zehirlenmesi.
-
Hedefler: Açık kaynak geliştirici ortamları ve genel paketleri projelerine dahil eden CI/CD süreçleri.
-
Atıf & veri: Binance, bu saldırı yönteminin Kuzey Kore bağlantılı aktörlerle ilişkilendirildiğini bildiriyor; Chainalysis’e göre DPRK bağlantılı saldırganlar 2024 yılında kripto hırsızlığının %61’ini gerçekleştirdi.
NPM paketlerinde Ethereum akıllı sözleşmeli kötü amaçlı yazılım vakaları artıyor — colortoolsv2 ve mimelib2, ikinci aşama indirme araçlarını akıllı sözleşmeler üzerinden çekti; Binance, saldırıları DPRK’ya bağlıyor. Detayları öğrenin.
Yayın Tarihi: COINOTAG — Yayınlandı 2025-09-04 · Güncellendi 2025-09-04
NPM paketlerindeki Ethereum akıllı sözleşmeli kötü amaçlı yazılım nedir?
Ethereum akıllı sözleşmeli kötü amaçlı yazılım, NPM kütüphanelerinde bulunan bir tedarik zinciri saldırısıdır. Burada, kötü amaçlı kod, zincir üzerinde barındırılan akıllı sözleşmeler aracılığıyla ikinci aşama indirme bağlantılarını saklar veya çözer. Bu yöntem, saldırganların zararlı yazılım konumlarını zincir dışına taşıyıp, adresleri sürekli değiştirerek tespit ve engellemeyi zorlaştırmasını sağlar.
colortoolsv2 ve mimelib2 kötü amaçlı yazılımı nasıl teslim etti?
ReversingLabs, iki NPM paketinde — colortoolsv2 ve mimelib2 — küçük bir başlangıç betiği (bootstrap script) keşfetti. Bu betik, ikinci aşamayı indirmek için Ethereum akıllı sözleşmesini çağırarak indirme URL’si veya komut alıyordu. İlk dosya yerel olarak çalıştırılıyor, ikinci dosya ise dinamik şekilde çekilerek statik tespit yöntemlerinin etkisi azaltılıyordu.
Bu teknik neden klasik paket zehirlemeden daha tehlikelidir?
Akıllı sözleşmeler kullanmak, kalıcılık ve karartma sağlar. Saldırganlar zincir üzerindeki okları güncelleyebilir, barındırma URL’lerini döndürebilir ve zararlı içerik yerlerini zincir üzerindeki işlemler arkasına gizleyebilir. Popüler depolara güvenen geliştiriciler, sahte commit geçmişi veya yanıltıcı katkı sağlanmış gibi görünen meşru görünümlü projelerden zararlı kod ithal edebilir.
Bu saldırıların DPRK bağlantısı olduğuna dair hangi deliller var?
Binance ve diğer büyük borsaların güvenlik ekipleri, NPM paket zehirlenmesinin kripto firmalarını hedefleyen geniş çaplı operasyonların bir parçası olarak arttığını bildirdi. Kamuya açık raporlar ve analizler, kuzey kore bağlantılı grupların (özellikle Lazarus) kripto hırsızlığına odaklandığını gösteriyor; Chainalysis, 2024’te DPRK bağlantılı aktörlerin 1,3 milyar dolar değerinde toplam kriptonun %61’ini çaldığını, FBI ise Bybit hack’ini 1,4 milyar dolarlık DPRK saldırısı olarak nitelendirdi.
Bir depo neden sahte ya da kötü amaçlı olabilir?
- Sıradışı commit örüntüleri: binlerce hızlı commit veya otomatik görünümde tarihler.
- Az sayıda gerçek katkıcı: projeden başka az gerçek etkinliği olan profiller.
- Paket davranışı: dış kaynakları çağıran bootstrap scriptler, şifrelenmiş URL’leri çözen veya standart dışı (akıllı sözleşmeler dahil) alan adları kullanan paketler.
Geliştiriciler ve firmalar nasıl zehirlenmiş NPM paketlerini tespit edebilir?
CI süreçlerine ön kontroller ekleyin: paket kaynağını doğrulayın, son commitleri denetleyin ve yeni bağımlılıkları sandbox ortamında çalıştırarak test edin. Bağımlılıkları sabitleyin, paket bütünlük imzalarını kontrol edin, çalışma sırasında akıllı sözleşmelerden ya da gizlenmiş URL çözümleyici ağ çağrılarını izleyin.
Borsalar ve güvenlik ekipleri nasıl hareket etmeli?
Gizli istihbarat kanallarında göstergeleri paylaşın, dahili gizli anahtarları düzenli değiştirin, tedarik zinciri politikalarını sıkılaştırın ve üçüncü taraf bağımlılıklar için zorunlu kod inceleme süreçleri uygulayın. Sektörden gelen bildirimlere göre borsalar, zararlı kütüphaneleri hızlıca engellemek için özel mesaj gruplarında uyarılar paylaşıyor.
Sıkça Sorulan Sorular
Önemli Noktalar
- Tedarik zinciri riski: Genel NPM paketleri, on-chain akıllı sözleşme adresleri kullanılarak silah haline getirilebilir.
- Atıf önemlidir: Sektör ve borsa kaynakları, paket zehirleme saldırılarını DPRK bağlantılı aktörlere bağladı.
- Savunma önlemleri: Bağımlılık denetimleri, sandbox testleri, bütünlük kontrolleri ve takım içi tehdit istihbarat paylaşımı zorunlu olmalı.
Nasıl yapılır: Geliştiriciler için hızlı kontrol listesi (adım adım)
- Bağımlılıkları net şekilde sabitleyin ve doğrulanmış paket imzaları kullanın.
- Bootstrap scriptlerini ağ çağrıları veya web3 etkileşimleri açısından denetleyin.
- Paketleri izole sandoboxlarda çalıştırıp dışa giden istekleri izleyin.
- Depo ve katkıcı geçmişini iyice doğrulamadan paketlere güvenmeyin.
- Dahili olay kanallarına abone olun ve göstergeleri gizli paylaşın.
Sonuç
Ethereum akıllı sözleşmeleri üzerinden çalışan ikinci aşama indirme araçları barındıran zehirlenmiş NPM paketleri, kripto ekosistemine karşı tedarik zinciri saldırılarında önemli bir yükseliş anlamına geliyor. Kuruluşlar, açık kaynak bağımlılıklarını bir güvenlik kontrol noktası olarak kabul etmeli, sıkı denetimler uygulamalı ve borsalar ile güvenlik ekipleri arasında tehdit istihbaratı koordinasyonunu güçlendirmelidir. Acil müdahale için bağımlılıkları denetleyin, yeni paketleri sandbox’ta çalıştırın, imzalı paket zorunluluğu koyarak CI süreçlerini sıkılaştırın.
Yazar & Kaynaklar
Yazar: COINOTAG editör ekibi. Kaynaklar: ReversingLabs araştırma raporu, Binance güvenlik açıklamaları, Chainalysis raporları, FBI Bybit olayı atıfları.
