Tấn công chuỗi cung ứng Swarm nhắm vào ví node qua gói npm độc hại
TREE NEWS đưa tin: Ethersphere, nhóm phát triển dự án lưu trữ phi tập trung Swarm, đã bị tấn công chuỗi cung ứng khiến ví node có nguy cơ bị đánh cắp. Vào ngày 9 tháng 11, kẻ tấn công đã phát hành phiên bản độc hại của thư viện bee-js (13.3.0) lên npm và đẩy Swarm Desktop 0.56.2 bị cài mã độc qua cơ chế tự động cập nhật. Mã độc đọc tệp cấu hình node Bee và keystore ví được mã hóa, gửi chúng đến kẻ tấn công. Vì tệp cấu hình lưu mật khẩu keystore dưới dạng văn bản thuần, ví node có thể bị xâm phạm hoàn toàn. Mã độc cũng cài đặt backdoor điều khiển từ xa. Cả gói npm và phiên bản desktop đều đã bị gỡ bỏ, và chưa có báo cáo thiệt hại tài sản nào được xác nhận.
Phân tích cuộc tấn công
Cuộc tấn công khai thác niềm tin vào chuỗi cung ứng phần mềm. Bằng cách xâm phạm gói bee-js chính thức và cơ chế tự động cập nhật desktop, kẻ tấn công tiếp cận người dùng tin rằng họ đang chạy phần mềm hợp pháp. Thư viện bee-js là một client JavaScript để tương tác với các node Bee, và Swarm Desktop cung cấp giao diện thân thiện để chạy node. Phiên bản độc hại chỉ tồn tại chưa đầy một ngày nhưng có thể đã được tải xuống bởi các nhà vận hành node tự động cập nhật.
Sự cố này làm nổi bật xu hướng gia tăng: kẻ tấn công nhắm vào lớp phát triển và phân phối thay vì bản thân blockchain. Hợp đồng thông minh có thể được kiểm toán, nhưng các công cụ mà người dùng dựa vào để tương tác với chúng thường ít được xem xét hơn. Việc lưu trữ mật khẩu keystore dưới dạng văn bản thuần trong tệp cấu hình là một lựa chọn thiết kế đặc biệt nguy hiểm, biến một thao tác đọc tệp đơn giản thành xâm phạm toàn bộ ví.
Tác động ngành
Các cuộc tấn công chuỗi cung ứng ngày càng phổ biến trong lĩnh vực crypto. Trong những tháng gần đây, một số dự án đã đối mặt với các mối đe dọa tương tự thông qua các phụ thuộc bị xâm phạm, tiện ích mở rộng trình duyệt độc hại và cập nhật ứng dụng giả mạo. Đối với các nhà vận hành node, sự cố nhấn mạnh nhu cầu về chính sách cập nhật nghiêm ngặt, xác minh chữ ký và cách ly khóa ví khỏi hạ tầng node.
- Xác minh trước khi cập nhật: Nhà vận hành node nên xác minh thủ công chữ ký gói và checksum trước khi áp dụng cập nhật.
- Tách khóa khỏi node: Tránh lưu mật khẩu keystore dưới dạng văn bản thuần; sử dụng ví phần cứng hoặc vùng bảo mật cho tài sản của node.
- Giám sát phụ thuộc: Nhóm phát triển nên triển khai bảng kê thành phần phần mềm (SBOM) và quét phụ thuộc tự động.
- Ứng phó sự cố: Ethersphere đã hành động nhanh chóng để gỡ bỏ các phiên bản độc hại, nhưng người dùng đã tải chúng nên giả định bị xâm phạm và thay đổi khóa.
Góc nhìn tương lai
Khi các dự án lưu trữ phi tập trung và hạ tầng trưởng thành, bảo mật phải mở rộng ra ngoài cơ chế đồng thuận đến toàn bộ vòng đời phần mềm. Sự cố Swarm là lời cảnh tỉnh cho ngành crypto để áp dụng các thực tiễn DevSecOps và để người dùng coi phần mềm node như hạ tầng quan trọng. Mặc dù chưa có thiệt hại nào được xác nhận, cuộc tấn công cho thấy mắt xích yếu nhất thường là kênh cập nhật. Các dự án nên xem xét triển khai phát hành có chữ ký, xây dựng tái lập và xác minh đa yếu tố bắt buộc cho tự động cập nhật. Các cơ quan quản lý và kiểm toán viên cũng có thể bắt đầu xem xét bảo mật chuỗi cung ứng phần mềm như một phần của tuân thủ crypto rộng lớn hơn. Hiện tại, các nhà vận hành node Swarm nên kiểm tra ngay hệ thống của họ để tìm dấu hiệu xâm phạm và chuyển tài sản đến ví an toàn.
