EtherHiding war erstmals im Oktober 2023 von Guardio Labs öffentlich dokumentiert worden. Die Methode versteckt schädlichen Code in einem Smart Contract auf einer öffentlichen Blockchain wie BNB Smart Chain oder Ethereum. Guardio Labs beschrieb das damals als eine verdeckte Vorgehensweise, die die operative Widerstandsfähigkeit gegen Abschaltungen verbessert.
Später griff auch die Google Threat Intelligence Group das Thema auf. GTIG brachte den Einsatz von EtherHiding durch nordkoreanische Hackergruppen gegen Ende des vergangenen Jahres mit Contagious Interview in Verbindung, einer lang laufenden Kampagne, bei der potenzielle Opfer über LinkedIn mit angeblich attraktiven Stellenangeboten angesprochen und zu einer Bewertung verleitet werden, die schließlich Schadsoftware installiert.
Die nun entdeckte Variante geht einen Schritt weiter. Laut Sicherheitsforscher Paul McCarty wird die C2-Adresse nicht mehr fest im Schadcode hinterlegt und auch nicht mehr wie bei EtherHiding in den Calldata einer Transaktion versteckt. Stattdessen kodiert NullReceiver die C2-IP direkt in den Bytes der Empfängeradresse einer Ethereum-Überweisung ohne Wert und ohne Datenfeld. Die Malware sucht die Wallet des Angreifers, liest die Zieladresse der jüngsten ausgehenden Transaktion und dekodiert daraus unmittelbar die C2-IP.
Genau darin sieht OpenSourceMalware den wesentlichen Vorteil gegenüber EtherHiding. Das ältere Verfahren benötigt eine feste, öffentlich bekannte Zieladresse, die Verteidiger überwachen können, wenn neue Transaktionen mit Nutzlast, C2-IP oder Schadskript auftauchen. NullReceiver verwendet dagegen eine nicht existente Zieladresse, die nur dazu dient, die IP-Adresse in sich selbst zu tragen. Das beseitigt die „feste, beobachtbare Zieladresse“ und erschwert damit die Zuordnung.
Auch technisch unterscheiden sich die neu entdeckten npm-Pakete klar von früheren Ansätzen. Weder „bianira-ui“ noch „fluid-type-ui“ rufen einen Smart Contract auf oder betten Inhalte in das Calldata-Feld ein. Die JavaScript-Bibliotheken nutzen die neue Methode stattdessen direkt, um die IP-Adresse zu extrahieren und eine Verbindung dorthin aufzubauen.
Die Analyse der Wallet-Transaktionen zeigte, dass bei ihnen dieselbe „To“-Adresse verwendet wurde: „0xa658863ea658863e68656c6c6f6970626f742121“. Dabei steht „a658863e“ für „166.88.134[.]62“, während die nachfolgenden Bytes „68656c6c6f6970626f742121“ die ASCII-Zeichenfolge „helloipbot!!“ ergeben. Zum Zeitpunkt der Veröffentlichung waren seit dem 27. Juli 2026, also einen Tag vor Erscheinen der Pakete, insgesamt 68 Transaktionen beobachtet worden.
Nach Einschätzung von OpenSourceMalware macht vor allem das Fehlen eines festen Ziels und eines klaren Fingerabdrucks NullReceiver unauffälliger; hinzu kommt, dass die Transaktionen günstiger sind als zuvor. Ein zentraler Unterschied zu EtherHiding besteht allerdings in der Kapazität: Während sich dort eine vollständige URL oder ein Skript einschleusen lässt, kann NullReceiver nur wenige Bytes kodieren. OpenSourceMalware betont zudem, dass NullReceiver keine Zieladresse wiederverwendet. Jede Abfrage nutze eine neue Wegwerfadresse, und die Transaktion selbst trage keinerlei zusätzliche Daten, wodurch es kein eigenes Feld gebe, an dem sich ein Muster erkennen ließe.