Die ursprünglichen Berichte von Aikido und Wiz hatten den Vorfall um debug und chalk nicht Nordkorea zugeschrieben. Amazon verknüpft die Übernahme nun mit der Gruppe, die das Unternehmen auch hinter der axios-Kompromittierung vom März 2026 sieht. Microsoft schrieb diesen Fall Sapphire Sleet zu und erklärte, die Aktivitäten überschnitten sich mit dem, was andere Anbieter als UNC1069, STARDUST CHOLLIMA, BlueNoroff, Alluring Pisces, CageyChameleon und CryptoCore verfolgen. Google ordnete axios unabhängig UNC1069 zu und verwies dabei auf die Hintertür WAVESHAPER.V2 sowie auf einen AstrillVPN-Knoten, den die Gruppe zuvor genutzt hatte.
Nach Darstellung von Amazon erstreckt sich das Muster über vier benannte Pakete in drei Kampagnen innerhalb von zwölf Monaten. Alle drei hätten auf die gleiche Weise begonnen: Ein vertrauenswürdiger Maintainer werde sozial manipuliert, danach veröffentlichen die Täter ein Update. Gerade diese Verallgemeinerung wirft beim Paket typo-crypto Fragen auf. Der Registry-Eintrag, den The Hacker News am 30. Juli 2026 überprüfte, zeigt nur eine einzige Version, typo-crypto@4.3.0, die am 31. März 2025 innerhalb von 204 Millisekunden erstellt und veröffentlicht wurde. Das spricht eher für ein von Anfang an zum Vortäuschen von crypto-js angelegtes Paket als für die Übernahme eines bestehenden Maintainer-Kontos mit nachträglichem bösartigem Update.
Amazon beschreibt in typo-crypto eine schädliche Datei namens core.js, die sich im Repository als das legitime Paket core-js ausgab. Sie reagierte auf einen Hash-Eingang, der mit 0098273 beginnt, und lud dann von einem fest eincodierten Command-and-Control-Server eine zweite, betriebssystemspezifische Stufe nach. Die Verschleierung erfolgte per Base64 über eine XOR-Chiffre mit dem Schlüssel 01042025. Als Netzwerkindikatoren nennt Amazon npmjs[.]store und 216[.]74[.]123[.]126.
The Hacker News verweist jedoch auf Unstimmigkeiten. Amazon nennt im Beitrag keinen Versionsstand, verweist aber auf den OSV-Eintrag MAL-2026-3400, der laut Prüfung von The Hacker News typo-crypto@4.3.0 identifiziert, Amazon Inspector als Quelle nennt und bereits am 8. Mai veröffentlicht wurde. Das Paket war am 30. Juli 2026 weiterhin im Registry verfügbar und installierbar. Es enthält kein Installationsskript; das bloße Herunterladen führt also nichts aus. Zudem stimmen die Tarball-Daten mit den Integritätswerten des Registry überein.
Auch bei den Hashes bleibt eine Lücke: The Hacker News schreibt, core.js enthalte tatsächlich sowohl den von Amazon genannten Triggerwert als auch den XOR-Schlüssel. Die Hashwerte passen aber nicht zusammen. Amazon führe die SHA256 von core.js als Paket-Hash auf, und der angebliche Hash von core.js tauche in keiner Datei des Tarballs auf. Möglich sei eine falsch beschriftete Kennung oder ein Hash einer anderen Kopie; Amazon erkläre nicht, welche Variante zutrifft.
Besonders relevant ist die Beleglage bei debug und chalk. Dort hatten Aikido und Wiz einen browserseitigen Interceptor dokumentiert, der fetch, XMLHttpRequest und Wallet-APIs einklinkte, um Transaktionsadressen vor der Signatur umzuschreiben. Laut den Berichten hinterließ der Code keine Persistenz auf dem System. Anders als die axios-Nutzlast hing dieser Code nicht von einem npm-Post-Install-Hook ab. Auch typo-crypto arbeitete nicht damit, sondern wartete stattdessen auf einen Auslöser.
Aikido, das die Kompromittierung aus dem September 2025 entdeckt hatte, widerspricht der Darstellung, Amazon sei die einzige Quelle für die Verbindung nach Nordkorea. Gegenüber The Hacker News erklärte das Unternehmen, es habe den Angriff auf debug und chalk sowie die Kompromittierungen von axios und Mastra seit geraumer Zeit in Blogbeiträgen, Vorträgen und Podcasts mit Nordkorea in Verbindung gebracht und sprach von „alten Nachrichten“. Auf Nachfrage nannte Aikido eine Überschneidung bei den Command-and-Control-Indikatoren zwischen den Angriffen auf axios und Mastra. Zugleich bestätigte das Unternehmen die technische Trennung: Bei debug und chalk kamen keine Lifecycle- oder Installationsskripte zum Einsatz, bei axios und Mastra dagegen schon.
Amazon bewertet das Muster als finanziell motiviert. Socket hatte The Hacker News damals mitgeteilt, die Wallets aus dem September hätten rund 600 US-Dollar eingebracht. Unterdessen hat npm v12 am 8. Juli mit standardmäßig deaktivierten Abhängigkeits-Lifecycle-Skripten ausgeliefert und damit den von axios genutzten Standardpfad über Post-Install entfernt. Sarah Gooding schrieb dazu für Socket, dass „weder das Blockieren von Installationsskripten noch OIDC diesen Einstiegspunkt schließen“. Am 28. Juli begann npm zudem, neu veröffentlichte Pakete vor ihrer Installierbarkeit auf Malware zu prüfen. Diese Prüfung gilt nur für neue Veröffentlichungen, nicht für bereits im Registry vorhandene Pakete.