Un singolo sviluppatore, un account npm, tre ore nel cuore della notte. Tanto è bastato perché hacker legati alla Corea del Nord iniettassero una backdoor in Axios, la libreria JavaScript più usata al mondo per le richieste HTTP — scaricata oltre cento milioni di volte a settimana. L’attacco del 31 marzo 2026 non è stato un colpo di fortuna: è il frutto di settimane di ingegneria sociale raffinata, con identità clonate, workspace Slack fasulli e videochiamate su Microsoft Teams. Ma la vera domanda non riguarda l’abilità degli attaccanti. La domanda è un’altra, e fa molto più male: com’è possibile che l’infrastruttura digitale globale dipenda dalla buona sorte di un singolo manutentore non pagato? E perché nessuno, tra i colossi che da quella libreria estraggono miliardi, ha mosso un dito prima che succedesse il prevedibile?
Facciamo un passo indietro. Axios è ovunque. Ogni volta che un’applicazione web fa una richiesta a un server — che si tratti di un’app bancaria, di un social network o di un e-commerce — ci sono ottime probabilità che sotto il cofano giri proprio questa libreria. È il tessuto connettivo di una parte enorme del web moderno, l’equivalente digitale della rete elettrica: nessuno ci pensa finché non salta. E tutto questo codice, fino a pochi giorni fa, passava dalle mani di una persona sola. Un bersaglio perfetto per chi ha tempo, risorse e la determinazione di uno stato sovrano alle spalle.
Tre ore, una backdoor e un’identità rubata
Il 31 marzo 2026, tra le 00:21 e le 03:20 UTC, qualcuno ha pubblicato due versioni avvelenate del pacchetto Axios su npm: la 1.14.1 e la 0.30.4. L’attaccante aveva compromesso l’account del manutentore principale — jasonsaayman — e sostituito il suo indirizzo email con uno proprio, un dettaglio apparentemente banale ma chirurgico: impediva al vero sviluppatore di riprendere il controllo dell’account. Le versioni malevole introducevano una dipendenza nascosta chiamata “plain-crypto-js”, contenente un dropper offuscato che si attivava automaticamente durante l’installazione tramite un hook postinstall. Da lì, il sistema scaricava WAVESHAPER.V2, un trojan ad accesso remoto multipiattaforma capace di infettare Windows, macOS e Linux con la stessa efficacia. Nessun file sospetto da cliccare, nessun allegato da aprire — bastava un npm install per consegnare le chiavi della propria macchina a Pyongyang.
La sofisticazione del malware racconta molto di chi l’ha costruito. WAVESHAPER.V2 comunicava con i server di comando e controllo usando JSON codificato in Base64, si mascherava con una stringa User-Agent di Internet Explorer 8 su Windows XP — un tocco quasi ironico, considerando che quel browser è morto e sepolto da anni — e supportava quattro comandi: terminare il proprio processo per non farsi scoprire, elencare file e directory della macchina infetta, eseguire script arbitrari a seconda del sistema operativo (AppleScript su Mac, PowerShell su Windows, shell su Linux), e iniettare binari direttamente in memoria. In pratica, una volta dentro la macchina dello sviluppatore, poteva fare qualsiasi cosa. Il trojan contattava il server C2 ogni sessanta secondi, pronto a ricevere istruzioni. E dopo aver scaricato i payload aggiuntivi, cancellava le proprie tracce come un fantasma che chiude la porta dietro di sé.
Ma il colpo vero non è stato tecnico — è stato umano. Il Google Threat Intelligence Group ha attribuito l’operazione a UNC1069, un gruppo nordcoreano attivo dal 2018 e motivato dal denaro. Microsoft lo traccia con un altro nome: Sapphire Sleet. Il metodo? Ingegneria sociale di livello cinematografico. Gli attaccanti hanno contattato il manutentore di Axios fingendosi il fondatore di un’azienda nota e legittima. Avevano clonato la sua identità digitale in ogni dettaglio: profili social credibili, un workspace Slack brandizzato con canali pieni di post LinkedIn plausibili, una riunione programmata su Microsoft Teams. Il manutentore ha confermato pubblicamente che l’attacco era “specificamente mirato a me” — non un phishing di massa inviato a migliaia di indirizzi, ma un’operazione costruita su misura, con settimane di preparazione e una conoscenza approfondita del bersaglio. Huntress, una delle società che ha analizzato l’impatto a posteriori, ha identificato almeno 135 dispositivi compromessi in dodici aziende diverse — e ha ammesso che si tratta solo di un campione parziale.
Tre ore. Tanto è durata la finestra di esposizione prima che il codice malevolo venisse individuato e le versioni rimosse dal registro npm. Ma tre ore nel mondo dei pacchetti JavaScript, con cento milioni di download settimanali, significano migliaia di installazioni potenzialmente infette già in circolazione nel momento in cui qualcuno si è accorto dell’anomalia. L’analisi dell’infrastruttura C2 ha rivelato connessioni da un nodo AstrillVPN già noto per operazioni precedenti di UNC1069, e il codice del malware conteneva riferimenti a percorsi di sviluppo legati a BlueNoroff — un altro tentacolo del Lazarus Group nordcoreano. Non era un dilettante con un laptop in uno scantinato. Era un’operazione di stato.
Un solo manutentore, cento milioni di download e nessuno che paga
Ora viene la parte scomoda, quella che i comunicati stampa delle big tech sorvolano con eleganza. Axios non è un progetto hobbistico di nicchia — è una delle librerie più scaricate dell’intero ecosistema npm, usata da aziende Fortune 500, banche, piattaforme governative. Eppure la sua manutenzione dipendeva sostanzialmente da una persona sola. Non un dipendente di Google, non un ingegnere Microsoft, non un contractor Amazon — aziende che usano Axios nei propri prodotti da miliardi di dollari. Una persona qualsiasi, che nel tempo libero tra un lavoro e l’altro manteneva in piedi un pezzo di infrastruttura critica globale senza ricevere nulla in cambio. Niente stipendio, niente assicurazione, niente formazione sulla sicurezza operativa. Solo la responsabilità morale — e, ora, la colpa implicita.
Il caso Axios non è un’anomalia: è la norma. Secondo le analisi più recenti, oltre la metà dei pacchetti npm è mantenuta da un singolo contributore. Parliamo di un ecosistema da cui dipendono banche, ospedali, governi, sistemi militari — tutto appeso al filo della buona volontà di sviluppatori che non ricevono un centesimo. E che sono, inevitabilmente, il bersaglio più appetibile per chi vuole colpire la catena di approvvigionamento del software. L’attacco a LiteLLM che abbiamo raccontato qualche settimana fa dimostrava esattamente la stessa dinamica: basta un punto di ingresso umano, un singolo anello debole, per far crollare l’intera catena.
Il 2025 è stato un anno da record nero per la sicurezza di npm. Sonatype ha bloccato oltre 120.000 attacchi malware nel solo quarto trimestre. A settembre, il worm Shai-Hulud ha dimostrato una capacità che sembrava uscita da un film di fantascienza: auto-propagazione. Usando token npm rubati, il malware si iniettava automaticamente in tutti gli altri pacchetti mantenuti dallo stesso sviluppatore compromesso — un effetto domino che ha colpito 18 pacchetti popolari, tra cui chalk e debug, con download combinati da 2,6 miliardi a settimana. Non sono incidenti isolati. Non sono sfortuna. Sono i sintomi strutturali di un sistema costruito sulla fiducia implicita e gestito a costo zero.
Il nocciolo della questione è semplice e brutale: il modello economico dell’open source, così come funziona oggi, è una macchina che produce valore per le corporation e scarica tutto il rischio sulle spalle di individui soli. Google guadagna miliardi grazie a codice che non ha scritto e non mantiene. Amazon costruisce AWS su un oceano di librerie gratuite. Microsoft ospita tutto su GitHub e npm — piattaforme che controlla — ma quando un manutentore viene raggirato con una truffa da manuale, la responsabilità ricade interamente su di lui. È la versione digitale dello sfruttamento ottocentesco: il lavoro lo fai tu, il profitto lo prendo io, e se ti fai male sono affari tuoi. Come abbiamo scritto parlando di software libero e sovranità tecnologica, il copyleft e la comunità resistono a questa logica predatoria — ma la realtà dell’ecosistema npm incarna il peggio del capitalismo delle piattaforme: infrastruttura critica trattata come volontariato, e le big tech nel ruolo di parassiti istituzionali.
Pyongyang come specchio del sistema: chi ruba e chi lascia rubare
La Corea del Nord ruba criptovalute come altri paesi estraggono petrolio. Non è un’iperbole: il programma di cyber-furto di Pyongyang è una delle colonne portanti dell’economia nordcoreana, seconda forse solo al mercato nero di armi e al lavoro forzato. Il Lazarus Group — l’ombrello sotto cui ricadono formazioni come UNC1069 e decine di sotto-gruppi specializzati — ha accumulato furti per almeno 6,75 miliardi di dollari nel corso degli anni. Solo nel 2025, i gruppi legati alla DPRK hanno sottratto 2,02 miliardi in criptovalute, un aumento del 51% rispetto all’anno precedente. Il colpo alla piattaforma Bybit, da 1,5 miliardi di dollari in Ethereum rubati in una singola operazione nel febbraio 2025, ha superato il PIL di diversi stati sovrani. TRM Labs parla di “industrializzazione del furto di criptovalute”: meno attacchi ma bottini più grossi, con un’infrastruttura di riciclaggio capace di processare centinaia di milioni in 48 ore.
L’attacco ad Axios si inserisce in questo quadro con una logica precisa. WAVESHAPER.V2 non è stato progettato per spiare giornalisti o dissidenti — è uno strumento finanziario, un grimaldello digitale calibrato per raggiungere wallet di criptovalute, chiavi private, credenziali di accesso a piattaforme DeFi. Il settore crypto è il bersaglio privilegiato perché combina tre caratteristiche irresistibili per un attaccante statale: enormi quantità di denaro concentrato, sicurezza spesso approssimativa e — dettaglio cruciale — transazioni difficili da invertire e complesse da tracciare. Compromettere le macchine degli sviluppatori che lavorano nel settore blockchain e fintech è il modo più efficiente per arrivarci.
Ma fermarsi all’analisi tecnica sarebbe miope. La Corea del Nord non opera nel vuoto — opera nelle crepe di un sistema che ha scelto consapevolmente di non proteggersi. Il regime di Kim Jong-un ha costruito un esercito di hacker stimato in migliaia di operativi, molti dei quali vivono e lavorano all’estero — in Cina, Russia, Sud-est asiatico — sotto copertura. Questi programmatori fantasma si infiltrano nelle aziende tech occidentali con identità false, raccogliendo stipendi e informazioni allo stesso tempo. A marzo 2026, un attacco da 285 milioni di dollari alla piattaforma Drift è stato ricondotto a un’operazione di ingegneria sociale durata sei mesi, iniziata nell’autunno 2025 — un investimento paziente e metodico che ricorda più un’operazione di intelligence che un crimine informatico. È un modello di guerra ibrida che sfuma completamente il confine tra crimine organizzato, spionaggio e operazione militare.
Il punto che nessuno vuole affrontare è che la cybersicurezza non si può separare dal contesto politico ed economico in cui si muove. Quando un manutentore volontario viene ingannato con una truffa costruita su misura in settimane di lavoro, il problema non è la sua ingenuità — il problema è un sistema che mette una persona sola, non pagata, non formata alla sicurezza operativa, a guardia di codice usato da milioni di aziende e miliardi di utenti finali. Quando la Corea del Nord riesce a infiltrare la supply chain globale del software, il fallimento non è di Pyongyang — è di un modello di sviluppo che ha scelto l’efficienza e il costo zero rispetto alla resilienza. Le big tech hanno i soldi, le competenze e le infrastrutture per prevenire questi attacchi. Non lo fanno perché finché il costo del disastro ricade su altri — sui manutentori, sugli utenti finali, sulle piccole aziende che non hanno un team di sicurezza — non c’è incentivo economico a cambiare.
Le alternative esistono, ma richiedono un cambio di paradigma che il mercato da solo non produrrà mai. Sistemi di firma crittografica obbligatoria per ogni pacchetto pubblicato, build riproducibili che permettano a chiunque di verificare che il codice sorgente corrisponda esattamente al binario distribuito, gestione multi-firma degli account dei manutentori critici — così che nessun singolo account compromesso possa avvelenare la catena. Progetti come Sigstore, nato in seno alla Linux Foundation, vanno nella direzione giusta: rendere verificabile e auditabile la provenienza di ogni artefatto software. Ma servono anche modelli di governance più distribuiti, cooperativi, dove la manutenzione del codice critico non sia un atto di volontariato individuale ma un’infrastruttura collettiva finanziata e protetta. Fondi strutturali per l’open source — non elemosine una tantum da programmi corporate di facciata, ma finanziamenti stabili e indipendenti. Il software libero non è il problema, anzi: è l’unico modello che offre la trasparenza necessaria per individuare codice malevolo prima che sia troppo tardi. Il problema è che lo abbiamo consegnato al mercato, e il mercato ottimizza per il profitto, mai per la sicurezza di chi non può pagare.
FAQ
Cos’è un attacco supply chain al software?
Un attacco supply chain consiste nel compromettere un componente della catena di distribuzione del software — una libreria, un pacchetto, un aggiornamento — per iniettare codice malevolo che si propaga automaticamente a tutti i sistemi che lo utilizzano. Nel caso di Axios, bastava eseguire npm install o aggiornare il pacchetto per attivare una backdoor che installava un trojan ad accesso remoto sulla macchina dello sviluppatore, senza che l’utente dovesse compiere alcuna azione aggiuntiva.
Come verificare se il proprio progetto è stato colpito?
Il primo passo è controllare se le versioni 1.14.1 o 0.30.4 di Axios compaiono nel file package-lock.json o yarn.lock del progetto. Verificare anche la presenza della dipendenza “plain-crypto-js”, il pacchetto malevolo usato come vettore. Strumenti come npm audit, Snyk e Socket possono identificare automaticamente le versioni compromesse e segnalare indicatori di compromissione noti.
Perché npm è così vulnerabile a questo tipo di attacchi?
L’ecosistema npm si basa su un modello di fiducia implicita: chiunque abbia le credenziali di un manutentore può pubblicare aggiornamenti che vengono automaticamente distribuiti a milioni di utenti. Oltre la metà dei pacchetti è gestita da un singolo sviluppatore, spesso senza autenticazione multifattore obbligatoria né meccanismi di revisione del codice prima della pubblicazione. Questo crea punti di fallimento singoli in software usato come infrastruttura critica globale.
Chi è UNC1069 e perché la Corea del Nord attacca l’open source?
UNC1069 è la designazione di Google Threat Intelligence per un gruppo di hacker nordcoreano attivo dal 2018, specializzato nel furto di criptovalute tramite ingegneria sociale e compromissione di supply chain software. Microsoft lo traccia come Sapphire Sleet. La Corea del Nord utilizza il cybercrimine come fonte di finanziamento statale, aggirando le sanzioni internazionali: il Lazarus Group ha accumulato furti per oltre 6,75 miliardi di dollari, rendendo il furto digitale una colonna dell’economia nordcoreana.
Come proteggersi dagli attacchi alla supply chain npm?
Usare lockfile verificati e bloccare gli aggiornamenti automatici dei pacchetti critici con policy di pinning delle versioni. Integrare npm audit nelle pipeline CI/CD e adottare strumenti di analisi delle dipendenze come Socket, Snyk o Dependabot. Per i manutentori: abilitare l’autenticazione a due fattori sull’account npm, considerare la firma crittografica dei rilasci e adottare processi di revisione multi-persona per le pubblicazioni di nuove versioni.
L’attacco ad Axios durerà nei titoli qualche giorno, poi verrà dimenticato. Fino al prossimo. E ci sarà un prossimo — perché nulla di strutturale è cambiato e nulla cambierà finché il modello resta quello attuale: codice libero, lavoro gratuito, profitto concentrato nelle mani di chi non contribuisce, rischio socializzato su chi non può difendersi. La Corea del Nord ha semplicemente sfruttato una porta che era spalancata da anni, costruendo un’operazione chirurgica su misura per un bersaglio che nessuno si era preoccupato di proteggere. L’ironia amara è che il software open source è nato come atto di libertà — condivisione, cooperazione, trasparenza radicale — e si ritrova oggi trasformato in un punto debole proprio perché il capitalismo delle piattaforme ne ha estratto tutto il valore senza restituire niente. Non servono eroi solitari davanti a un terminale alle tre di notte. Servono comunità organizzate, infrastrutture condivise, fondi pubblici e modelli cooperativi che sottraggano la manutenzione del codice critico alla logica del mercato. Il codice è già libero — ora tocca liberare anche chi lo scrive.