Người dùng Solana遭遇 tấn công mã độc ẩn, khóa riêng bị lộ dẫn đến tài sản bị đánh cắp

Vào đầu tháng 7 năm 2025, một sự kiện tấn công mã độc nhằm vào người dùng Solana đã bị phanh phui. Một người dùng đã phát hiện tài sản tiền mã hóa của mình bị đánh cắp sau khi sử dụng một dự án mã nguồn mở được lưu trữ trên GitHub. Qua điều tra của đội ngũ an ninh, sự kiện này liên quan đến một dự án Node.js độc hại được ngụy trang tinh vi.

Cuộc điều tra cho thấy, kẻ tấn công thu hút người dùng bằng cách phát hành các dự án mã nguồn mở có vẻ bình thường trên GitHub. Số lượng Star và Fork của các dự án này bị nâng cao một cách nhân tạo để tăng độ tin cậy. Tuy nhiên, thời gian cập nhật mã của dự án tập trung trong một khoảng thời gian ngắn, thiếu tính năng bảo trì liên tục.

Phân tích sâu hơn cho thấy, dự án phụ thuộc vào một gói bên thứ ba khả nghi có tên là crypto-layout-utils. Gói này đã bị NPM chính thức gỡ bỏ, và phiên bản chỉ định không xuất hiện trong lịch sử của NPM. Kẻ tấn công đã sửa đổi tệp package-lock.json, chỉ định liên kết tải xuống của gói phụ thuộc tới một kho GitHub tự kiểm soát.

Gói NPM độc hại này đã được làm rối rất cao, chức năng của nó là quét các tệp nhạy cảm trên máy tính của người dùng, đặc biệt là các nội dung liên quan đến ví tiền điện tử và Khóa riêng. Một khi phát hiện tệp mục tiêu, nó sẽ được tải lên máy chủ do kẻ tấn công kiểm soát.

Cuộc điều tra cũng phát hiện ra rằng kẻ tấn công có thể đã kiểm soát nhiều tài khoản GitHub để phân phối phần mềm độc hại và tăng độ nổi bật của dự án. Ngoài crypto-layout-utils, một gói độc hại khác có tên bs58-encrypt-utils cũng đã được sử dụng cho các cuộc tấn công tương tự.

Phân tích trên chuỗi cho thấy, số tiền bị đánh cắp đã trải qua một loạt các chuyển nhượng và cuối cùng đã chảy vào một nền tảng trao đổi tiền điện tử nào đó.

Phương pháp tấn công này kết hợp kỹ thuật xã hội và kỹ thuật công nghệ, có tính lừa đảo cao. Nó không chỉ nhắm vào người dùng cá nhân mà còn có thể đe dọa các tổ chức. Khuyên các nhà phát triển và người dùng nên cảnh giác với các dự án GitHub không rõ nguồn gốc, đặc biệt là các dự án liên quan đến ví hoặc khóa riêng. Nếu cần gỡ lỗi các dự án như vậy, tốt nhất nên thực hiện trong môi trường cách ly để tránh rò rỉ dữ liệu nhạy cảm.

Sự kiện này một lần nữa nhắc nhở chúng ta rằng, trong thế giới phi tập trung, nhận thức về an toàn và các biện pháp phòng ngừa của người dùng là vô cùng quan trọng. Đối mặt với các phương thức tấn công ngày càng phức tạp, việc giữ cảnh giác, thường xuyên cập nhật kiến thức an toàn và thực hiện các biện pháp bảo vệ cần thiết là cách tốt nhất để bảo vệ tài sản kỹ thuật số của mình.