Amazon, Eylül 2025'te npm paketleri debug ve chalk'ın ele geçirilmesi olayını Kuzey Kore'ye bağladı. On aydır kamuoyunda bir kripto hırsızlığı vakası olarak bilinen bu olayda, bir bakımcının kimlik avı yoluyla hedef alındığı ve en az 18 pakete cüzdan boşaltma scripti yerleştirildiği ortaya çıkmıştı. Bu paketlerin haftalık toplam indirilme sayısı 2 milyarı aşıyordu.
Olayla ilgili ilk raporları yayınlayan Aikido ve Wiz, saldırıyı Kuzey Kore'ye atfetmemişti. Amazon Tehdit İstihbaratı'nın 29 Temmuz'da yayınladığı araştırmaya göre, Mart 2026'daki axios saldırısının arkasındaki grubun bu olaydan da sorumlu olduğu orta düzeyde güvenle değerlendiriliyor.
Amazon'a göre aynı grup, Mart 2025'te typo-crypto adlı küçük bir pakete truva atı yerleştirilmiş bir dosya eklemişti. Bu, axios saldırısından tam bir yıl önce gerçekleşti. Analistler, axios soruşturması sırasında ortaya çıkan ve 2025'te kaydedilmiş bir alan adını araştırırken bu dosyaya rastladı.
İndirilme sayıları düşük olsa da Amazon, bu yöntemin "daha popüler paketlere yönelik saldırılarda daha sonra gözlemlediklerimizle uyumlu" olduğunu belirtti ve bu paketi bir "deneme" olarak nitelendirdi. Amazon'un atfı, 12 aylık bir süreçte üç farklı kampanyada dört adlandırılmış paketi kapsıyor. Şirkete göre her üç saldırı da aynı şekilde başladı: Güvenilir bir bakımcıyı sosyal mühendislikle hedef almak ve ardından bir güncelleme yayınlamak.
Amazon yeni bir güvenlik ihlali bildirmedi. debug ve chalk için yanıt kapsamı (tarayıcı paketleri ve önbellekler) hâlâ yayınlanan mekanizmayla aynı. Sadece saldırının kime atfedildiği değişti.
Amazon'un yayınladığı kanıtlar ise iddiasının oldukça gerisinde kaldı. Şirketin blog yazısı, kampanyalar arasında ortak yöntemler (truva atı yerleştirilmiş paketler, kurulum sonrası kancalar ve kod tekrarı) ile örtüşen komuta-kontrol göstergelerine atıfta bulunuyor, ancak hangi kanıtın hangi olayla bağlantılı olduğunu açıkça belirtmiyor.
