Cuộc tấn công NPM để lại các đồng meme hầu như nguyên vẹn

6 tháng 10, 2025

Cuộc tấn công chuỗi cung ứng vào các gói JavaScript npm đó? Không tệ như nó có thể đã xảy ra. Chỉ có khoảng $500 giá trị meme coin bị đánh cắp từ ví. Thật bất ngờ. Toàn bộ sự việc đã được kiểm soát một cách đáng kể trong 12 giờ đầu tiên sau khi ai đó phát hiện ra lỗ hổng.

Người dùng nhận được những cảnh báo hoảng loạn để ngừng giao dịch tiền điện tử ngay lập tức. Nhưng mọi người vẫn tiếp tục giao dịch. Đó là tiền điện tử. Nhìn vào dữ liệu của Arkham Intelligence, kẻ tấn công đã rời đi với chỉ 0.22 SOL và một loạt các mã thông báo meme ngẫu nhiên trị giá khoảng 497 đô la. Chuyện nhỏ. Các giao thức khác đã mất nhiều hơn trong cùng khoảng thời gian, mặc dù cuộc tấn công này vẫn gây ngạc nhiên vì cách nó xảy ra, chứ không phải vì những gì nó đã đánh cắp.

Sổ tay tấn công có cảm giác quen thuộc

Cái npm này? Hơi giống với những cuộc tấn công front-end trước đây. Nó đã làm rối loạn các địa chỉ ví đích ngay khi các giao dịch đang diễn ra. Không tốt.

Mã JavaScript kém có thể chuyển hướng các thứ từ các trang web sử dụng những gói bị xâm phạm. Kinh doanh tồi tệ.

Một nhà phân tích đã nói thẳng: "Lỗ hổng này chiếm đoạt mã front-end trên các website sử dụng những gói này." Luôn xác minh giao dịch của bạn! Khác với các cuộc tấn công có mục tiêu, lỗ hổng này có thể đã ảnh hưởng đến tới 2 tỷ lượt tải hàng tuần. Tuy nhiên, tác động dường như vẫn tối thiểu cho đến nay. Thật kỳ lạ.

Hầu hết các nền tảng Web3 lớn đã tránh được rắc rối. Mã của họ vẫn sạch sẽ. Giao dịch vẫn tiếp tục. Các token bị đánh cắp? Chủ yếu là các đồng meme Ethereum như BRETT, DORKY, VISTA và GONDOLA. Không có ETH nào bị lấy trực tiếp. Chủ yếu là các nhà giao dịch nhỏ hơn và nhà cung cấp thanh khoản bị ảnh hưởng, không phải các ứng dụng tự nó.

Tại sao lại có nhiều lời nói về "Based" như vậy?

Trên khắp mạng xã hội, những người trong lĩnh vực tiền điện tử liên tục gọi các nhà nghiên cứu an ninh đã phát hiện ra điều này là "based." Không hoàn toàn rõ lý do tại sao từ lóng này lại phổ biến đến vậy trong các vòng tròn tiền điện tử, nhưng có vẻ như nó có ý nghĩa đặc biệt ở đây.

Trong ngôn ngữ internet ngày nay, đặc biệt là trong cộng đồng crypto, "based" có nghĩa là bạn tự suy nghĩ, bất kể người khác nói gì. Đó là về việc kiên định với quan điểm của mình.

Từ này từng được sử dụng như một lời xúc phạm về ma túy. Sau đó, rapper Lil B đã biến nó thành một điều tích cực. Bây giờ, trong thế giới crypto, gọi ai đó là "based" thì thực sự là lời khen cao nhất. Bạn đang nói rằng họ không đi theo đám đông.

Những vấn đề bảo mật quan trọng

Ví tiền điện tử vẫn có phần dễ bị tổn thương trước các cuộc tấn công chuỗi cung ứng này. Nhưng mức độ nghiêm trọng của chúng phụ thuộc vào các ứng dụng và thời điểm. Tin tốt? Việc công bố các mẫu mã độc hại đó có lẽ đã giúp các nhà phát triển phát hiện ra các vấn đề tương tự.

Vì chỉ có những lượt tải xuống mới bị nhắm đến, chỉ một vài ứng dụng tiền điện tử cảm thấy bị ảnh hưởng. Người dùng MetaMask có vẻ có nguy cơ cao nhất. Ví để bàn? Hầu hết đều an toàn. Thật may mắn.