Mastra passa da poisoning a campagna di furto attribuita a Sapphire Sleet
Il punto non è più solo il package avvelenato: un’installazione npm può diventare il momento in cui una postazione di sviluppo o un runner CI viene trasformato in un bersaglio per rubare segreti. Qui il rischio si sposta dai file visibili della base di codice alle credenziali, alle sessioni browser e ai wallet già presenti sugli ambienti che hanno installato quei package.
Microsoft attribuisce con alta confidenza l’operazione a Sapphire Sleet, gruppo nordcoreano legato al settore finanziario. Oltre 140 package nel namespace @mastra hanno ricevuto un dependency malevolo, easy-day-js, che al post-install avvia un dropper e porta su Windows, Linux e macOS un infostealer capace di raccogliere token, API key, cronologie, processi e estensioni wallet; sulle macchine raggiunte compaiono anche tecniche di persistenza e componenti già associati al gruppo.
Per chi gestisce supply chain npm, il confine da monitorare non è il singolo package rimosso, ma ogni workstation o ambiente di build che lo ha installato: il furto dei segreti può essere già avvenuto prima della pulizia del repository. L’attribuzione sposta anche la lettura dell’episodio: non un incidente isolato di pubblicazione, ma una campagna di theft con obiettivo economico e crypto.
L'attribuzione a Sapphire Sleet indica che il furto di credenziali e wallet via package open source è un canale operativo, non un effetto collaterale.