Cuộc tấn công NPM gây thiệt hại tối thiểu, chỉ có $500 trong các đồng Meme bị đánh cắp

Những gì ban đầu có vẻ như là một cuộc tấn công chuỗi cung ứng có thể gây tàn phá cho hệ sinh thái crypto đã chứng tỏ là không hiệu quả như mong đợi. Cuộc tấn công gần đây vào gói JavaScript npm, có thể đã làm cạn kiệt vô số ví, chỉ quản lý để đánh cắp $500 giá trị của các meme token không rõ nguồn gốc trong 12 giờ đầu tiên - một giọt nước trong đại dương so với những gì có thể đã xảy ra.

Tôi đã theo dõi câu chuyện này diễn ra với cảm giác vừa nhẹ nhõm vừa lo lắng. Mặc dù tác động tài chính là tối thiểu, chúng ta không nên đánh giá thấp tầm quan trọng của những gì đã xảy ra ở đây. Cuộc tấn công đã chèn mã độc vào các gói npm với hàng tỷ lượt tải hàng tuần - về cơ bản là đầu độc nguồn nước mà vô số nhà phát triển sử dụng.

Nhìn vào dữ liệu của Arkham Intelligence, ví của kẻ tấn công chỉ chứa 0.22 SOL và một vài meme token vô giá trị như BRETT, DORKY, VISTA, và GONDOLA. Thú vị là, họ đã không thể lấy được bất kỳ ETH nào mặc dù đã nhắm mục tiêu vào hệ sinh thái Ethereum.

Phương pháp tấn công giống như các lỗ hổng phía trước trước đó, nơi các điểm đến giao dịch bị thay đổi vào giây phút cuối cùng. Như một nhà bình luận đã chỉ ra, “Nó giống như khi [một sàn giao dịch lớn] mất một tỷ đô la cho tin tặc thông qua việc làm tổn hại đến giao diện người dùng Safe multisig.” Sự khác biệt ở đây là quy mô và cách thực hiện.

Người dùng MetaMask dường như đã là mục tiêu chính, trong khi ví máy tính để bàn phần lớn không bị ảnh hưởng. Hầu hết các nền tảng Web3 lớn nhanh chóng xác nhận rằng mã của họ vẫn an toàn, ngăn chặn sự hoảng loạn lan rộng.

Điều khiến tôi lo lắng nhất không phải là những gì đã xảy ra mà là những gì có thể đã xảy ra. Cuộc tấn công này đã phơi bày một điểm yếu cơ bản trong cách các ứng dụng tiền điện tử xử lý các phụ thuộc. Nếu những kẻ tấn công tinh vi hơn hoặc kiên nhẫn hơn, thiệt hại có thể là thảm khốc.

Cộng đồng crypto đã tránh được một mối nguy hiểm lần này, nhưng sự cố này như một lời nhắc nhở rõ ràng rằng các lỗ hổng bảo mật thường ẩn nấp ở những nơi bình thường nhất - không phải trong chính blockchain, mà trong những công cụ hàng ngày mà chúng ta sử dụng để tương tác với nó.