Truy cập mã MetaMask bị dừng sau một nhà thầu liên quan đến Triều Tiên
Consensys cho biết quyền truy cập vào mã của MetaMask đã được cấp cho một nhà thầu có liên quan tới Triều Tiên thông qua một nhà cung cấp bên thứ ba từ ngày 9 tháng 3 đến tháng 4, khi quyền truy cập được chấm dứt. Cuộc điều tra của công ty không phát hiện tài sản bị xâm phạm, dữ liệu bị đánh cắp hoặc bị lộ, việc triển khai mã độc và không thấy ảnh hưởng tới sự an toàn của người dùng.
Một cảnh báo nội bộ vào tháng 4 được cho là đã tạm dừng các bản phát hành của sản phẩm MetaMask và yêu cầu nhân viên không tương tác với cố vấn trong khi tiến hành rà soát. Tổng cố vấn pháp lý của Consensys, Matt Corva, cho biết mối quan hệ với bên thứ ba được coi là đáng tin cậy và công ty đã kể từ đó siết chặt các thực hành đối với dịch vụ bên thứ ba để tiệm cận tiêu chuẩn như với nhân viên. Công ty cũng đã thông báo cho lực lượng thực thi pháp luật.
Với các trader crypto, đây không phải là lỗ hổng khai thác trực tiếp trên giao thức hay một sự kiện mất tiền ngay lập tức. Nhưng tin này củng cố rủi ro về chuỗi cung ứng và kiểm soát quyền truy cập của nhà phát triển trong hạ tầng ví—nơi ngay cả các sự cố “không phát hiện vi phạm” cũng có thể khiến hoạt động bị soi xét chặt hơn và ảnh hưởng đến tâm lý trong ngắn hạn.
Neutral
Trung lập đối với giá: báo cáo này mô tả một sự cố kiểm soát truy cập của bên thứ ba liên quan đến mã MetaMask, nhưng Consensys cho biết quá trình điều tra không phát hiện có tiền bị đánh cắp, không lộ dữ liệu nhạy cảm, không triển khai mã độc và không có tác động đến sự an toàn của người dùng. Vì vậy, rất khó để sự việc này kích hoạt việc định giá lại trực tiếp ở cấp độ giao thức đối với bất kỳ tài sản cụ thể nào.
Trong ngắn hạn, các nhà giao dịch có thể thấy tâm lý e ngại rủi ro (risk-off) nhẹ đối với cơ sở hạ tầng ví/phát triển và các tiêu đề tin tức liên quan đến an ninh, vì câu chuyện nhấn mạnh các con đường truy cập của bên thứ ba cũng như nhu cầu xác minh danh tính chặt chẽ hơn và kiểm soát theo nguyên tắc đặc quyền tối thiểu (least privilege). Tuy nhiên, nếu không có tổn thất tài chính đã được xác nhận hoặc không có khai thác (exploit) đang diễn ra, tác động đến thị trường nhiều khả năng vẫn ở mức hạn chế.
Trong dài hạn, việc giám sát chặt chẽ hơn đối với chuỗi cung ứng phần mềm và quy trình đưa nhà thầu vào hoạt động (onboarding) có thể ảnh hưởng đến cách các nhà phát triển và đội nhóm tổ chức quyền truy cập và các cuộc kiểm toán trên toàn hệ sinh thái. Điều này có thể cải thiện khả năng phục hồi, nhưng đó chủ yếu là một chủ đề quản trị vận hành hơn là chất xúc tác ngay lập tức cho biến động giá token.