Cuộc tấn công chuỗi cung ứng Ledger: Tại sao vụ vi phạm NPM này có thể là ngày đen tối nhất của tiền điện tử

Ledger vừa công bố một tin sốc: Đã phát hiện sự xâm nhập chuỗi cung ứng NPM. Nhưng điều mà mọi người đang bỏ lỡ—điều này không chỉ liên quan đến một công ty ví cứng. Nó liên quan đến toàn bộ cơ sở hạ tầng mà hàng tỷ đô la đang ngồi trên đó.

Những gì đã xảy ra

Vào ngày 8 tháng 9, Ledger phát hiện mã độc được tiêm vào các gói NPM phổ biến. Dịch nghĩa: các thư viện JavaScript cung cấp tương tác ví, giao thức DeFi và cơ sở hạ tầng sàn giao dịch đã bị nhiễm độc. Ledger ngay lập tức thông báo cho người dùng dừng tất cả giao dịch trên chuỗi cho đến khi phạm vi trở nên rõ ràng.

Tại sao? Bởi vì nếu các kẻ tấn công đã xâm phạm những thư viện này trước khi bị phát hiện, họ có thể đã:

• Chặn các khóa riêng trong quá trình giao dịch
• Tạo ra lỗ hổng cho việc đánh cắp quỹ
• Lén lút thao tác dữ liệu giao dịch

Điều này không mới, nhưng nó thật đáng sợ

Các cuộc tấn công chuỗi cung ứng đã xảy ra trước đây—SolarWinds đã làm lộ 18.000 cơ quan chính phủ Hoa Kỳ. Nhưng SolarWinds không giữ tiền mã hóa của mọi người. Ledger thì có: hàng tỷ tài sản kỹ thuật số.

Phần đáng sợ? Các nhà phát triển sử dụng những gói NPM bị nhiễm đó có thể thậm chí không biết rằng chúng bị xâm phạm. Mã độc có thể đang ngủ yên, chờ để kích hoạt sau.

Vấn Đề Thực Sự

Ví cứng được cho là không thể bị hack—khóa sống ngoại tuyến. Nhưng cầu phần mềm giữa thiết bị của bạn và blockchain? Nó thì trực tuyến. Nó thì dễ bị tổn thương. Đó là nơi cuộc tấn công này đã xảy ra.

Ledger đang làm việc với các chuyên gia an ninh mạng để kiểm soát tình hình. Chưa có báo cáo về tổn thất xác nhận nào. Nhưng thực tế là họ đã khuyến nghị ngừng tất cả các giao dịch cho thấy mức độ đe dọa là nghiêm trọng.

Điều này có nghĩa là

Dành cho người dùng: Niềm tin vào ngay cả những cái tên lớn nhất cũng không phải là tuyệt đối. Chuỗi an ninh của bạn chỉ mạnh mẽ như mắt xích yếu nhất - và hiện tại, không rõ mắt xích đó đã bị đứt ở đâu.

Cho Hệ Sinh Thái: Điều này chứng minh rằng sự phi tập trung là một con dao hai lưỡi. Tự do khỏi ngân hàng = tự do để bị hủy hoại nếu bạn không bảo mật đúng cách.

Dành cho các nhà phát triển: Kiểm toán mọi thứ. Các phụ thuộc bên thứ ba có thể giết chết bạn.