Tìm hiểu về cảnh báo bảo mật Ethereum: Một cuộc tấn công chuỗi cung ứng blockchain ảnh hưởng đến ví Swarm và vai trò của phần mềm độc hại hợp đồng thông minh.
Kênh phân phối phần mềm chính thức đã đưa phần mềm độc hại đánh cắp ví vào hệ sinh thái Swarm, khiến SlowMist đưa ra cảnh báo bảo mật Ethereum nghiêm trọng vào ngày 10 tháng 11 năm 2026. Cuộc tấn công chuỗi cung ứng này ảnh hưởng đến gói phần mềm bee-js và ứng dụng Swarm Desktop của Ethersphere, người dùng được khuyến nghị gỡ bỏ phần mềm bị ảnh hưởng, cài đặt phiên bản sạch và thay đổi khóa ví đã bị lộ.
Điểm chính
- Các phiên bản bị nhiễm độc lần lượt là bee-js 13.3.0 và Swarm Desktop 0.56.2.
- Một hợp đồng thông minh Ethereum giúp kẻ tấn công quản lý cơ sở hạ tầng phần mềm độc hại.
- Các biện pháp xử lý không chỉ bao gồm cập nhật phần mềm, mà còn bao gồm gỡ bỏ backdoor và thay đổi khóa ví.
Cảnh báo bảo mật Ethereum xuất phát từ phiên bản phát hành bị xâm nhập
Quy trình phát hành tự động của Ethersphere đã bị xâm nhập vào ngày 9 tháng 11 năm 2026 và phần mềm độc hại đã được phân phối qua các kênh chính thức. Các sản phẩm bị ảnh hưởng thuộc về Swarm, một mạng lưu trữ phi tập trung trong hệ sinh thái Ethereum.
Paket npm độc hại @ethersphere/bee-js 13.3.0 xuất hiện vào khoảng 00:09 UTC, sau đó Swarm Desktop 0.56.2 xuất hiện vào khoảng 00:36 UTC, cách nhau khoảng 27 phút.
SlowMist cho biết, kẻ tấn công đã xâm nhập vào tài khoản GitHub và lạm dụng quy trình phát hành hợp lệ. Quy trình phát hành này đã bị xâm phạm, liên quan đến robot bee-worker hoặc chứng chỉ tích hợp liên tục bị đánh cắp.
Gói phần mềm bị chỉnh sửa chứa hook postinstall: các script này sẽ tự động thực thi trong quá trình cài đặt mà không cần người dùng nhấp thêm lần nào. Các script liên quan sẽ kết nối đến máy chủ do kẻ tấn công kiểm soát và tải về tải trọng bổ sung.
Quản lý cơ sở hạ tầng phần mềm độc hại bằng hợp đồng thông minh
SlowMist cho biết, kẻ tấn công đã sử dụng một hợp đồng thông minh Ethereum làm kho lưu trữ cấu hình chỉ huy và kiểm soát phi tập trung. Nhờ đó, chúng có thể thay đổi địa chỉ máy chủ quản lý phần mềm độc hại mà không cần phát hành phiên bản phần mềm độc hại mới.
Phần mềm độc hại sẽ truy xuất và thực thi JavaScript độc hại. Hợp đồng này trước đây từng liên quan đến SleepyDuck và EtherDuck, những hoạt động độc hại này từng nhắm vào các nhà phát triển thông qua các tiện ích mở rộng độc hại trên thị trường Open VSX.
Các nhà nghiên cứu phát hiện việc đánh cắp ví và truy cập bền vững
Các nhà nghiên cứu của Socket và SafeDep đã độc lập phát hiện rằng các phần mềm độc hại này nhằm đánh cắp tệp ví Swarm và cài đặt công cụ truy cập từ xa mang tính bền vững. Việc phát tán độc hại có thể phơi bày thông tin xác thực ví và khóa riêng, đồng thời để lại cửa sau vĩnh viễn trên các hệ thống bị ảnh hưởng.
Kết quả nghiên cứu cho thấy mục tiêu là làm sạch các token xDAI và xBZZ liên quan đến nút Swarm, nguồn vốn chequebook và tài sản đã thế chấp.
Làm sạch phiên bản và thay đổi khóa ví
Trong cảnh báo bảo mật Ethereum của mình, SlowMist khuyến nghị người dùng bị ảnh hưởng xóa ngay các gói phần mềm bị nhiễm độc và quay lại phiên bản bee-js 13.2.0. Đối với người dùng đang chạy Swarm Desktop v0.56.2, nên chuyển sang phiên bản v0.56.3 không bị ảnh hưởng.
Theo thông báo bảo mật GitHub GHSA-hh7j-5m3j-23pf, bất kỳ hệ thống nào đã cài đặt gói phần mềm bị nhiễm độc đều nên được coi là “bị tổn hại hoàn toàn”. Ethereum Swarm cũng đã cảnh báo người dùng qua Discord khóa hệ thống và thay thế các phiên bản máy tính để bàn bị ảnh hưởng.
Người dùng bị ảnh hưởng được khuyến nghị xóa backdoor và thay thế hoàn toàn khóa ví. Việc chỉ cập nhật phần mềm không thể bảo vệ tài sản liên quan đến khóa bị kẻ tấn công lấy được, cũng không thể xóa các cơ chế duy trì lâu dài đã được cài đặt trên thiết bị.
Đọc thêm: Danh tính số Ethereum của Bhutan có thể xác minh chứng chỉ mà không cần đưa dữ liệu lên chuỗi · Ondo mang hơn 100 chứng khoán Mỹ vào Ethereum: Truy cập 24/7 và định giá trên chuỗi
Bài viết này được hỗ trợ tạo bởi trí tuệ nhân tạo và đã được đội ngũ biên tập kiểm duyệt.