Swarm của Ethersphere trở thành nạn nhân của cuộc tấn công chuỗi cung ứng tinh vi
TREE NEWS đưa tin: Dự án lưu trữ phi tập trung Ethersphere (Swarm) đã bị tấn công chuỗi cung ứng phần mềm sau khi tin tặc xâm nhập một tài khoản GitHub và chiếm đoạt quy trình phát hành chính thức để chèn mã độc vào gói npm @ethersphere, theo các công ty bảo mật SlowMist và Socket. Được biết, những kẻ tấn công đã sử dụng một hợp đồng thông minh Ethereum để điều khiển backdoor, có khả năng làm lộ khóa riêng của người dùng.
Diễn biến cuộc tấn công
Vụ xâm nhập bắt đầu bằng việc chiếm đoạt một tài khoản GitHub gắn với dự án Swarm, cho phép kẻ tấn công thao túng quy trình phát hành. Mã độc sau đó được công bố lên npm registry, một kênh phân phối phổ biến cho các thư viện JavaScript. Sau khi được cài đặt, backdoor có thể đánh cắp dữ liệu nhạy cảm, bao gồm khóa riêng, từ các nhà phát triển và người dùng đang chạy các nút Swarm.
Điều khiến cuộc tấn công này đặc biệt đáng chú ý là việc sử dụng hợp đồng thông minh Ethereum như một cơ chế chỉ huy và điều khiển (C2). Bằng cách tận dụng một hợp đồng phi tập trung, bất biến, kẻ tấn công đã khiến các nhóm bảo mật khó hạ gục cơ sở hạ tầng backdoor hơn. Kỹ thuật này—sử dụng blockchain như một kênh C2 có khả năng phục hồi—đang là xu hướng gia tăng trong các tác nhân đe dọa tinh vi.
Hàm ý cho ngành
Các cuộc tấn công chuỗi cung ứng là mối đe dọa gia tăng trong hệ sinh thái tiền mã hóa, nơi hợp tác mã nguồn mở và trình quản lý gói là không thể thiếu trong phát triển. Sự cố Swarm làm nổi bật một số vấn đề quan trọng:
- Rủi ro phụ thuộc: Các nhà phát triển thường dựa vào các gói bên thứ ba mà không xác minh nghiêm ngặt, tạo ra bề mặt tấn công rộng.
- Bảo mật quy trình phát hành: Các dự án phải bảo vệ đường ống CI/CD và tài khoản GitHub bằng xác thực đa yếu tố và ký mã.
- C2 phi tập trung: Việc sử dụng hợp đồng thông minh cho mục đích độc hại nhấn mạnh tính chất sử dụng kép của công nghệ blockchain.
Token gốc của Swarm (BZZ) có thể đối mặt với biến động ngắn hạn khi cộng đồng đánh giá thiệt hại. Tuy nhiên, sứ mệnh lưu trữ phi tập trung của dự án vẫn nguyên vẹn, và việc khắc phục nhanh chóng có thể giảm thiểu tổn hại danh tiếng dài hạn.
Triển vọng tương lai
Cuộc tấn công này là lời cảnh tỉnh cho toàn bộ ngành Web3. Khi các dự án cơ sở hạ tầng phi tập trung trưởng thành, các thực tiễn bảo mật của chúng cũng phải theo kịp. Dự kiến sẽ có sự giám sát chặt chẽ hơn đối với chuỗi cung ứng phần mềm, việc áp dụng rộng rãi hơn các công cụ như Sigstore để ký gói, và thúc đẩy kiểm toán bảo mật tiêu chuẩn hóa cho quy trình phát hành. Đối với người dùng, sự cố này củng cố tầm quan trọng của ví phần cứng và quản lý khóa cảnh giác—ngay cả khi tương tác với các dự án có vẻ uy tín. Cộng đồng tiền mã hóa phải coi bảo mật chuỗi cung ứng là trách nhiệm tập thể, nếu không sẽ có nguy cơ làm xói mòn niềm tin vào chính nền tảng của công nghệ phi tập trung.
