Thư viện JavaScript bị tấn công: Cuộc tấn công chuỗi cung ứng đang chấn động nền tảng của Tiền điện tử

Tôi chưa bao giờ nghĩ rằng tôi sẽ thấy ngày mà hệ sinh thái mã nguồn mở của chúng ta bị khai thác một cách tàn bạo như vậy. Những gì đang xảy ra ngay bây giờ trong thế giới JavaScript không chỉ là một vụ vi phạm bảo mật khác—đó là một cơn ác mộng đối với bất kỳ ai giữ crypto, đặc biệt là những người trong chúng ta dựa vào phần mềm ví.

Một số kẻ xấu thông minh đã quản lý để chiếm đoạt tài khoản NPM của một nhà phát triển được tôn trọng, tiêm mã độc vào các thư viện mà hầu như dự án JavaScript nào cũng phụ thuộc vào. Chúng ta đang nói về chalk, strip-ansi và color-convert—các tiện ích có vẻ không quan trọng nhưng là xương sống của vô số ứng dụng.

Điều thực sự đáng sợ? Phần mềm độc hại này đặc biệt nhắm vào các giao dịch tiền điện tử bằng cách thay đổi địa chỉ ví. Bạn nghĩ rằng bạn đang gửi tiền cho bạn bè, nhưng thực tế là chúng đang đi thẳng vào ví của một kẻ hacker. Đây là sự tương đương kỹ thuật số của một kẻ móc túi đang thay đổi tiền mặt của bạn bằng tiền Monopoly khi bạn không để ý.

Các thư viện bị xâm phạm này nhận được hơn một tỷ lượt tải xuống hàng tuần. MỘT TỶ! Ngay cả khi bạn chưa cài đặt chúng trực tiếp, dự án của bạn có thể phụ thuộc vào một cái gì đó mà phụ thuộc vào một cái gì đó sử dụng chúng. Sự lây nhiễm lan truyền một cách lén lút qua cây phụ thuộc giống như một loại virus.

Người dùng phần mềm ví có thể thở phào nhẹ nhõm—ít nhất bạn phải xác nhận giao dịch một cách vật lý. Nhưng còn những người trong chúng ta sử dụng phần mềm ví thì sao? Chúng ta như những con vịt ngồi chờ. Chưa ai biết liệu những kẻ tấn công này có nhắm đến các cụm từ khôi phục hay không, nhưng tôi sẽ không ngạc nhiên.

Cuộc tấn công này phơi bày ngôi nhà thẻ mỏng manh mà toàn bộ hệ sinh thái của chúng ta được xây dựng trên đó. Chúng ta rao giảng về sự phi tập trung trong khi phụ thuộc vào các kho lưu trữ tập trung như NPM—basically là một cửa hàng ứng dụng nơi mã có thể bị xâm phạm mà không ai nhận ra cho đến khi quá muộn.

Ngành công nghiệp tiền điện tử liên tục nói về việc áp dụng đại chúng, nhưng làm thế nào chúng ta có thể mong đợi điều đó khi mà các biện pháp bảo mật cơ bản lại dễ bị tổn thương như thế này? Niềm tin là tất cả trong tài chính, và những vi phạm như thế này khiến chúng ta lùi lại nhiều năm trong nhận thức của công chúng.

Giữ mắt mở—tình huống này vẫn đang diễn ra, và hàng tỷ tài sản kỹ thuật số đang treo lơ lửng.