Microsoftの脅威インテリジェンスによると、2つの悪意あるnpmパッケージであるutils-terminal@3.2.1とlogger-active@3.2.1が発見されており、リモートアクセス型トロイの木馬（RAT）を配布していました。このRATは、開発者のシステムから暗号資産ウォレットの認証情報、APIキー、その他の機密データを盗み出すよう設計されています。 攻撃者は、盗み取った情報を機械学習プラットフォームであるHugging Face経由で中継し、直接の指令・制御通信よりも活動が不審に見えにくくなるようにして検知を回避しました。この脅威は、暗号開発者にとって特に懸念されます。暗号開発者のワークステーションには、しばしばウォレットの秘密鍵、シードフレーズのバックアップ、取引所の認証情報が含まれているためです。

Cryptopolitanによると、北朝鮮に関連するハッキング集団Lazarusは、暗号資産企業と銀行を攻撃するために、5月26日にRemotePEと呼ばれる新しいファイルレスのリモートアクセス型トロイの木馬（RAT）を展開した。マルウェアは完全にメモリ上で動作するため、従来のアンチウイルスやフォレンジックのツールで検知しにくい。Lazarusは2026年の最初の4か月で、暗号資産の約$577 millionを盗み、その期間の世界の暗号資産窃盗の76%を占めた。 このグループは2017年以来、盗まれた資産として60億ドル超を蓄積している。

Elastic Security Labsは、脅威アクターがLinkedInとTelegram上でベンチャーキャピタル企業を装い、PHANTOMPULSEという名前のWindows RATを展開したことを明らかにしました。攻撃にはObsidianのノートボルトが使用されており、Elastic Defendはそれを首尾よくブロックしました。

PANews 2月13日の報道によると、マンウー（慢雾）の最高情報セキュリティ責任者23pdsは、Xプラットフォーム上で、「graphalgo」と呼ばれる偽の求人活動がリモートアクセス型トロイの木馬（RAT）を利用して暗号通貨開発者を攻撃していると警告しました。