Blockchain C2 in npm: ViteVenom schreibt das Takedown-Playbook neu

Sieben npm-Pakete, 2.420 kombinierte Downloads und eine Command-and-Control-Schicht, die auf drei öffentlichen Blockchains lebt. Das ist ViteVenom – und die Zahl, die jeden Plattformverantwortlichen beunruhigen sollte, ist nicht die Downloadanzahl. Es ist die Null: null Domains zum Beschlagnahmen, null Registrare anzuschreiben, null Hosting-Anbieter vorzuladen. Für jede Entwicklungsorganisation, die ein lizenziertes Kryptoprodukt betreibt, verändert dies die wirtschaftliche Grundlage der Incident Response auf eine Weise, die Ihr aktuelles Runbook nicht einkalkuliert hat.

Die Geschichte ist über die unmittelbaren Opfer hinaus relevant. Teams, die im nächsten Quartal Entscheidungen im sechst- bis achtstelligen Bereich über SDLC-Tooling, Dependency-Scanning-Anbieter und interne Registry-Richtlinien treffen, haben jetzt eine konkrete Fallstudie dafür, wie „unerreichbares C2" operativ aussieht. Und die Überschneidungen bei der Zuordnung deuten auf eine staatlich verknüpfte Gruppe hin, was das regulatorische Gespräch von Entwicklerhygiene hin zur Sanktionsexposition verschiebt.

Die Zahlen

Wie The Hacker News berichtete, identifizierte Checkmarx-Forscher Pavan Gudimalla sieben npm-Pakete mit beschränktem Geltungsbereich, die zwischen dem 29. Juni und dem 3. Juli 2026 veröffentlicht wurden und allesamt den legitimen @vitejs/*-Namespace imitieren. Die Downloadanzahl konzentriert sich stark auf ein Paket: @uw010010/vite-tree mit 1.070, gefolgt von @vite-tab/tab mit 289, @vite-ln/build-ts mit 252, @vite-mcp/vite-type mit 239, @vite-pro/vite-ui mit 200, @vitets/vite-ts mit 194 und @vite-ts/vite-ui mit 176. Das ist ein eng begrenzter Wirkungsradius von rund zweitausend Installationen über fünf Tage.

Diese Zahlen wirken klein, bis man bedenkt, was eine Vite-Abhängigkeit innerhalb eines Builds bewirkt. Es handelt sich um Frontend-Tooling. Es sitzt in CI-Runnern, auf Entwickler-Laptops mit Signing-Keys und auf Maschinen mit Zugangsdaten, die in Staging-Umgebungen reichen. Zehn Installationen bei einem Fintech sind schlimmer als tausend Installationen in Hobbyisten-Repos, und ohne Dependency-Telemetrie, die die meisten Teams nicht betreiben, lässt sich nicht feststellen, welche Verteilung diese Kampagne getroffen hat.

Die Infrastrukturseite ist, wo die Abrechnung interessant wird. ChainVeil, die frühere Kampagne, die Checkmarx zufolge ViteVenom erweitert, betrieb ein vierstufiges C2-System über Tron, Aptos und Binance Smart Chain. Beide Kampagnen teilen dieselbe Tron-Wallet, dasselbe Aptos-Konto und denselben BSC-Transaktions-Hash, der zur Malware-Nutzlast führt. Die Wallet-Aktivierung datiert auf den 27. Februar 2026, was dem Betreiber ein Betriebsfenster von etwa fünf Monaten vor der Offenlegung im Juli verschaffte.

Der RAT selbst ist eine standardmäßige Einkaufsliste: Reverse Shell, Credential Harvesting, Dateiexfiltration, persistente Backdoor-Injektion. Am Endpunkt nichts Neues. Die Neuheit liegt eine Ebene höher, in der Art, wie der Loader seine Nutzlast abruft. Und die Zuordnung hat sich nun verschoben. Laut einer Aktualisierung des Berichts vom 19. Juli überlappt die Aktivität mit PolinRider, einem Cluster, der nordkoreanischen Akteuren zugeordnet wird, basierend auf gemeinsamen Tron-Wallets, der Aptos-Fallback-Adresse und übereinstimmenden XOR-Entschlüsselungsschlüsseln. Socket identifizierte Anfang Juli separat 108 Pakete und Browser-Erweiterungen, die über npm, Packagist, Go und Chrome mit PolinRider in Verbindung stehen. „Es ist PolinRider, das direkt gegen die npm- und Vite-Ökosysteme vorgeht", sagte Jenn Mile, Mitgründerin von OpenSourceMalware.

Was wirklich neu ist

Bösartige npm-Pakete sind nicht neu. Den @vitejs-Namespace mit scoped Names zu typosquatten ist eine geringfügige Weiterentwicklung gegenüber ChainVeils unscoped Versuchen wie rate-limit-flexible, aber Registry-Hygiene-Teams haben diesen Film schon gesehen. Was wirklich anders ist, ist die Abrufkette.

Der Loader wird zur Importzeit ausgeführt, nicht zur Installationszeit. Diese einzige Design-Entscheidung besiegt die Klasse von Scannern, die npm install einbinden, um Pakete in Sandboxen zu zünden. Import-time-Ausführung bedeutet, dass das bösartige Verhalten nur dann ausgelöst wird, wenn das Paket tatsächlich in ein Bundle eingebunden wird – was in einem Vite-Workflow beim Start des Dev-Servers oder beim Produktions-Build geschieht. Ihr Snyk- oder Socket-Scan in der Installationsphase sieht nichts Auffälliges.

Dann fragt der Loader die Tron-Blockchain nach der neuesten Transaktion aus der Wallet des Angreifers ab, dekodiert und kehrt das Transaktionsdatenfeld um, um einen BSC-Transaktions-Hash zu erhalten, fragt diese BSC-Transaktion ab, um eine verschlüsselte Nutzlast aus ihrem Eingabefeld zu extrahieren, und entschlüsselt mit einem hartcodierten Schlüssel. Falls Tron ausfällt, ist Aptos die Sicherung. Falls beide ausfallen, gibt es einen HTTP-Fallback auf einen traditionellen C2-Server. Die Blockchain ist hier keine Dekoration. Sie ist der primäre Kanal, wobei die beschlagnahmbare Domain das letzte Mittel ist.

Gudimalas Formulierung ist das wichtige Zitat: „Der Angreifer speichert Payload-Pointer als Transaktionsdaten auf öffentlichen Blockchains statt auf Domain-Namen, die beschlagnahmt werden können, was die Infrastruktur nahezu unmöglich zu deaktivieren macht." Das ist die architektonische Behauptung. Um die Nutzlast zu rotieren, postet der Betreiber einfach eine neue Transaktion. Um das C2 zu blockieren, müssten Verteidiger Tron-, Aptos- oder BSC-Validatoren davon überzeugen, bestimmte Wallet-Adressen auf Protokollebene zu zensieren – eine Anfrage, die keine dieser Chains strukturell dafür ausgelegt ist, schnell zu erfüllen. Das entwicklerseitige Modell für eine dieser Umgebungen ist in den EVM-Docs einsehbar: Transaktionseingabefelder sind ein erstklassiger Datenkanal, keine Missbrauchsfläche mit einer Moderationsschicht.

Kompartimentierung ist das andere Merkmal. Checkmarx stellt fest: „Die oberflächlichen Unterschiede – verschiedene Paketnamen, verschiedene Maintainer-Konten, verschiedene Tier-1-Wallets, verschiedene bösartige Dateipfade – sind konsistent damit, wie ein einzelner Betreiber mehrere Verteilungsspuren kompartimentieren würde, um die Exposition zu begrenzen." Das ist professionelles Handwerk, kein Script-Kiddie-Experiment.

Was für Krypto und DeFi eingepreist ist

Die Krypto-Engineering-Community wusste abstrakt, dass öffentliche Chains als kugelsichere Datenschichten dienen können. Steganografisches C2 auf Bitcoin wurde in Forschungsumgebungen seit Jahren demonstriert. Was nicht eingepreist war, ist die operative Reife: ein funktionierendes vierstufiges System mit primären und Backup-Chains, monatelang aktiv, ein echtes Entwicklerökosystem treffend, mit einem staatlich assoziierten Akteur verbunden. Diese Kombination hebt dies von akademischer Neugier zu einem Bedrohungsmodell-Posten.

Was eingepreist ist: Nordkoreanische Gruppen, die auf Krypto-Entwickler abzielen. Das ist seit 2023 die angenommene Grundlage. Dass Vite- und Node-Ökosysteme hochwertige Einstiegspunkte in Wallet-, Exchange- und DeFi-Frontend-Teams sind, ist ebenfalls keine Neuigkeit für jeden, der Socket oder Phylum wöchentlich liest.

Was nicht eingepreist ist: der Compliance-Aspekt. Wenn die PolinRider-Zuordnung standhält, hat jede in den USA ansässige Exchange, jeder Verwahrer oder jedes DeFi-Protokoll, dessen Entwicklermaschinen diese Nutzlasten abgerufen haben, eine potenzielle OFAC-Expositionsfrage – nicht nur einen Sicherheitsvorfall. Das ist ein Gespräch für den General Counsel, nicht für den Head of Platform. Das wachsende Interesse der SEC an operativen Kontrollen von Kryptounternehmen bedeutet, dass „wir wurden durch npm kompromittiert" keine saubere Erzählung mehr ist wie früher.

Der General Counsel eines jeden lizenzierten Kryptounternehmens sollte diese Woche seinen Head of Security fragen, ob das Abhängigkeitsinventar auf Abruf eine Liste aller Maschinen liefern kann, die zwischen dem 29. Juni und dem 3. Juli ein Paket aus den @vitejs-angrenzenden Scopes gezogen haben. Wenn die Antwort ein zweiwöchiges Discovery-Projekt erfordert, ist das der Befund.

Gegensätzliche Sichtweise

Die Konsensmeinung ist, dass Blockchain-C2 ein sprunghafter Fortschritt für Angreifer ist und Verteidiger überfordert. Ich würde dieser Rahmung widersprechen. Public-Chain-C2 ist in dem Sinne unerkennbar, dass man den Kanal nicht beschlagnahmen kann – aber es ist äußerst beobachtbar. Jeder Payload-Pointer ist eine permanente, zeitgestempelte, öffentlich abfragbare Transaktion. Die Wallet-Adresse des Angreifers ist jetzt verbrannt. Das Beaconing-Muster jedes nachgelagerten Opfers, wenn instrumentiert, korreliert mit einer bekannten On-Chain-Kennung.

Traditionelles Domain-C2 wird abgeschaltet, hinterlässt Verteidigern aber fast nichts. Chain-basiertes C2 kann nicht abgeschaltet werden, hinterlässt Verteidigern jedoch eine forensische Goldgrube. Chain-Analytics-Firmen erledigen diese Arbeit bereits für Exchanges. Dasselbe Tooling auf Malware-C2-Wallets zu richten, ist ein kleiner Aufwand. Die richtige Engineering-Antwort ist nicht Verzweiflung, sondern die Observability-Seite zu finanzieren: die Angreifer-Wallets in einen Threat-Intel-Feed einzuspeisen, bei jeglichem Egress von Build-Maschinen zu diesen RPC-Endpunkten zu alertieren und bekannte bösartige BSC-Transaktions-Hashes als IOCs zu behandeln.

Die Build-vs-Buy-Entscheidung beim Dependency-Scanning verschiebt sich ebenfalls. Anbieter, die nur Install-time-Verhalten erkennen, sind jetzt sichtbar im Rückstand. Anbieter, die Runtime- und Import-time-Analyse plus On-Chain-Enrichment durchführen, werden zur vertretbaren Wahl. Verträge, die in den nächsten 90 Tagen unterzeichnet werden, sollten diese Fähigkeit im SOW festgeschrieben haben.

Wichtigste Erkenntnisse

• Sieben ViteVenom-Pakete trafen npm zwischen dem 29. Juni und dem 3. Juli 2026; das größte, @uw010010/vite-tree, verzeichnete 1.070 Downloads vor der Offenlegung.
• Nutzlasten werden zur Importzeit ausgeführt, nicht zur Installationszeit, was Install-Hook-Sandbox-Scanning unterläuft, auf das die meisten SDLC-Anbieter noch immer setzen.
• C2 lebt in den Transaktionsdatenfeldern von Tron, Aptos und BSC, was traditionelle Takedown-Workflows strukturell unwirksam macht, während es die forensische Zuordnung ungewöhnlich stark gestaltet.
• Die Zuordnung verweist nun auf PolinRider und nordkoreanische Akteure, was ein npm-Hygieneproblem für lizenzierte Kryptounternehmen in eine Sanktions- und Offenlegungsfrage verwandelt.
• Teams, die im nächsten Quartal Dependency-Scanner evaluieren, sollten Import-time-Analyse und On-Chain-Threat-Intel-Enrichment als vertragsrelevante Fähigkeiten fordern, nicht als Roadmap-Punkte.

Teams, die ihre Supply-Chain-Postur evaluieren, sollten sich nun eine andere Frage stellen als im letzten Jahr. Nicht „Erkennt unser Scanner Typosquats" sondern „Wenn das C2 nicht beschlagnahmt werden kann, wie schnell können wir das Beacon von innen erkennen, und wer in unserem Unternehmen ist verantwortlich, wenn es sich als sanktionierten Akteur herausstellt." Das Runbook, das einen kooperativen Registrar und einen kooperativen Host voraussetzt, überlebt den Kontakt mit ViteVenom nicht.