Hợp Đồng Thông Minh Ethereum Bị Lợi Dụng Phát Tán Malware
Giới thiệu: Xu hướng tấn công chuỗi cung ứng mới
Các chuyên gia an ninh mạng vừa cảnh báo một chiêu thức tấn công mới, khi tin tặc sử dụng hợp đồng thông minh Ethereum để che giấu mã độc. Điều này đánh dấu bước tiến đáng lo ngại trong tấn công chuỗi cung ứng phần mềm, đặc biệt với hệ sinh thái NPM – nền tảng quản lý gói JavaScript lớn nhất thế giới.
Phát hiện từ ReversingLabs
Nhóm nghiên cứu của ReversingLabs đã tìm ra hai gói NPM độc hại có tên “colortoolsv2” và “mimelib2”. Ban đầu, chúng trông như các tiện ích bình thường nhưng thực chất lại kết nối tới blockchain Ethereum để lấy URL ẩn, qua đó tải về mã độc tầng hai.
Việc nhúng chỉ dẫn này vào hợp đồng thông minh giúp tin tặc ngụy trang hoạt động như một giao dịch blockchain hợp pháp, khiến hệ thống phát hiện trở nên khó khăn.
Chiêu thức giả mạo trên GitHub
Để gia tăng độ tin cậy, kẻ tấn công còn dựng kho GitHub giả với commit ảo, tài khoản giả mạo và lượt sao được bơm thổi. Các gói này được quảng bá như bot giao dịch tiền điện tử, đánh lừa nhiều nhà phát triển tải xuống mà không nghi ngờ.
Hậu quả là không chỉ máy tính cá nhân bị nhiễm, mà cả pipeline CI/CD trong chuỗi cung ứng phần mềm cũng có nguy cơ bị kiểm soát.
Blockchain trở thành “vỏ bọc” hoàn hảo
Chiến thuật này tương tự các vụ tấn công trước đây khi tin tặc dùng GitHub Gists hay dịch vụ lưu trữ đám mây để chứa payload. Tuy nhiên, điểm khác biệt quan trọng là việc dùng blockchain làm kênh phân phối.
Điều này khiến hoạt động của tin tặc khó phân biệt với giao dịch blockchain thông thường, mở ra xu hướng mới cho malware ẩn trong Web3.
Khuyến nghị cho nhà phát triển
• Luôn kiểm tra tính xác thực của package NPM trước khi cài đặt.
• Sử dụng công cụ dependency scanning để phát hiện sớm gói mã độc.
• Cảnh giác với kho GitHub mới lập, ít đóng góp thực nhưng lại có nhiều sao bất thường.
• Tăng cường chính sách Zero Trust trong pipeline CI/CD.
Lưu ý: Bài viết này chỉ nhằm cung cấp thông tin và góc nhìn thị trường tại thời điểm đăng tải. Chúng tôi không đưa ra bất kỳ cam kết hay đảm bảo nào về hiệu suất, lợi nhuận hoặc độ chính xác tuyệt đối của dữ liệu. Mọi quyết định đầu tư đều thuộc trách nhiệm của người đọc.