Amazonは、Node Package Manager（npm）エコシステムを標的にした一連のオープンソースソフトウェアサプライチェーン攻撃を北朝鮮ハッカーに結びつけた。攻撃は、typo-crypto、debug、chalk、axiosライブラリを含み、2025年3月に始まり、2026年3月まで続いた。攻撃者は、ソーシャルエンジニアリングの手法を使ってパッケージ管理者を騙し、悪意のある更新を拡散させた。

Sapphire Sleetとして知られる攻撃者は、2025年3月にtypo-cryptoパッケージをトロイの木馬化して攻撃を開始し、2025年9月にはdebugとchalkパッケージを標的にした。2026年3月には、週間1億回以上ダウンロードされるaxiosパッケージも攻撃を受けた。Amazonは、攻撃者が金銭的動機を持ち、人気のあるパッケージを標的にして広範な潜在的な被害者にアクセスしようとしたと指摘した。

Amazonは、攻撃者が複数の無害に見えるパッケージに悪意のある機能を分散させて検出を困難にし、AIが攻撃者のコード、ドキュメント、管理者IDの作成を支援したと説明した。同社は、この脅威に対処するために、コミュニティとの情報共有、OpenSSFや他の業界パートナーとの協力、Akritesイニシアチブへの1250万ドルの投資など、一連の対策を講じた。