Cảnh báo của Slow Fog rằng các bản phát hành axios độc hại đang kéo vào mã độc plain-crypto-js “thuần”, khiến các nhà phát triển crypto phải đối mặt với các cross-platform RATs và thông tin xác thực bị đánh cắp qua npm.

Tóm tắt

• Slow Fog đánh dấu [email protected] và [email protected] là độc hại sau khi tài khoản nhà phát triển bị xâm nhập.
• Gói [email protected] được chèn vào sẽ thả một trojan truy cập từ xa đa nền tảng thông qua các tập lệnh postinstall.
• Các nhà phát triển sử dụng [email protected] được khuyến nghị xoay vòng thông tin xác thực và kiểm tra các máy chủ, vì npm đang hoàn tác axios về 1.14.0.

Công ty bảo mật chuỗi khối Slow Fog đã đưa ra một lời nhắc bảo mật khẩn cấp sau khi hai bản phát hành [email protected] và [email protected] mới được công bố đã kéo vào một phần phụ thuộc độc hại, [email protected], biến một trong những trình client HTTP được sử dụng rộng rãi nhất của JavaScript thành một vũ khí chuỗi cung ứng nhắm vào các crypto developers. Axios ghi nhận hơn 80 triệu lượt tải hàng tuần trên npm, nghĩa là chỉ cần một sự xâm nhập tồn tại trong thời gian ngắn cũng có thể lan sang các backend ví, trading bots, sàn giao dịch và hạ tầng DeFi được xây dựng trên Node.js. Trong bản tư vấn của mình, Slow Fog cảnh báo rằng “những người đã cài đặt [email protected] thông qua npm install -g có thể đã bị phơi nhiễm”, đồng thời khuyến nghị xoay vòng thông tin xác thực ngay lập tức và điều tra kỹ phía máy chủ để tìm dấu hiệu bị xâm nhập.

Cuộc tấn công dựa trên một gói mã hoá giả mạo, [email protected], được âm thầm thêm vào như một phần phụ thuộc mới và chỉ được dùng để thực thi một tập lệnh postinstall đã được che giấu (obfuscated), từ đó thả một trojan truy cập từ xa đa nền tảng nhắm vào các hệ thống Windows, macOS và Linux.

Công ty bảo mật StepSecurity giải thích rằng “không có phiên bản độc hại nào chứa một dòng mã độc bên trong chính Axios”, và rằng thay vào đó “cả hai đều chèn một phần phụ thuộc giả mạo, [email protected], với mục đích duy nhất là chạy một tập lệnh postinstall để triển khai trojan truy cập từ xa đa nền tảng (RAT).” Nhóm nghiên cứu của Socket cho biết gói plain-crypto-js độc hại đã được công bố chỉ vài phút trước bản phát hành axios bị xâm nhập, gọi đó là “một cuộc tấn công có phối hợp nhắm vào chuỗi cung ứng” nhằm vào hệ sinh thái JavaScript.

Tài khoản duy trì (maintainer) của Axios bị chiếm quyền

Theo StepSecurity, các bản phát hành axios độc hại đã được đẩy lên bằng thông tin xác thực npm bị đánh cắp thuộc về người duy trì chính “jasonsaayman”, cho phép kẻ tấn công vượt qua luồng phát hành thông thường dựa trên GitHub của dự án. “Đây là một sự xâm nhập chuỗi cung ứng đang diễn ra trong [email protected], nơi hiện phụ thuộc vào [email protected]—một gói được công bố sớm hơn vài giờ và được xác định là mã độc đã được che giấu (obfuscated), thực thi lệnh shell và xoá dấu vết,” kỹ sư bảo mật Julian Harris đã viết trên LinkedIn. Hiện tại npm đã gỡ bỏ các phiên bản độc hại và hoàn tác việc phân giải (resolution) axios về 1.14.0, nhưng bất kỳ môi trường nào đã tải 1.14.1 hoặc 0.3.4 trong thời gian cửa sổ tấn công vẫn còn rủi ro cho đến khi thông tin bí mật được xoay vòng và hệ thống được xây dựng lại.

Sự cố này lặp lại các vụ việc npm trước đó nhắm trực tiếp vào người dùng crypto, bao gồm một chiến dịch năm 2025 trong đó 18 gói phổ biến như chalk và debug đã âm thầm thay đổi địa chỉ ví để đánh cắp tiền, khiến CTO của Ledger là Charles Guillemet phải cảnh báo rằng “các gói bị ảnh hưởng đã được tải xuống hơn 1 tỷ lần.” Các nhà nghiên cứu cũng đã ghi nhận phần mềm độc hại trên npm trộm khóa từ ví Ethereum, XRP và Solana, và SlowMist ước tính rằng các vụ tấn công và gian lận crypto — bao gồm các gói bị cài cắm hậu mãi (backdoored) và các cuộc tấn công chuỗi cung ứng được hỗ trợ bởi AI — đã gây ra hơn 2,3 tỷ USD thiệt hại chỉ riêng trong nửa đầu năm 2025. Tạm thời, lời khuyên của Slow Fog rất thẳng thắn: hạ cấp axios về 1.14.0, kiểm toán các phần phụ thuộc để tìm bất kỳ dấu vết nào của [email protected] hoặc openclaw, và giả định rằng mọi thông tin xác thực đã bị các môi trường đó chạm tới đều đã bị xâm phạm.

Các cảnh báo trước đó về chuỗi cung ứng phần mềm

Trong một bài viết trước trên crypto.news về các cuộc tấn công chuỗi cung ứng JavaScript, Guillemet của Ledger cảnh báo rằng các gói npm bị xâm nhập với hơn 2 tỷ lượt tải hàng tuần tạo ra rủi ro mang tính hệ thống đối với các dApps và ví được xây dựng trên Node.js. Một bài viết khác đã nêu chi tiết cách Nhóm Lazarus của Triều Tiên cài cắm các gói npm độc hại để cài hậu vào môi trường phát triển và nhắm vào người dùng ví Solana và Exodus. Một câu chuyện crypto.news thứ ba về mã độc thế hệ tiếp theo cho thấy các cuộc tấn công chuỗi cung ứng có cửa hậu thông qua npm và các công cụ AI giá rẻ đã giúp tội phạm điều khiển từ xa hơn 4.200 máy của nhà phát triển và góp phần gây ra các tổn thất crypto lên tới hàng tỷ USD.