Các sự cố bảo mật tiền mã hóa khiến thông tin đăng nhập của nhà phát triển gặp rủi ro
Một loạt sự cố an ninh công nghệ đã làm gia tăng rủi ro đối với các nhà phát triển và dịch vụ tiền mã hóa. Ngày 21 tháng 10, PHP Foundation phát hành các bản cập nhật bảo mật để khắc phục hai lỗ hổng thực thi mã từ xa nghiêm trọng, mỗi lỗ hổng được chấm 9,2. Node.js cũng vá 10 lỗ hổng, trong đó có một lỗi nguy cơ cao trong mô-đun giải nén Brotli và một vấn đề nguy cơ trung bình có thể khiến các giá trị ngẫu nhiên bị lặp lại trong những ứng dụng sử dụng ảnh chụp trạng thái khởi động hoặc ứng dụng thực thi độc lập. Lỗi liên quan đến giá trị ngẫu nhiên không ảnh hưởng đến tất cả ví tiền mã hóa; bài viết cho biết hầu hết quy trình tạo khóa riêng sử dụng các giao diện mật mã khác.
Railway, một nền tảng triển khai trên đám mây, tiết lộ rằng một bên thứ ba không được phép có thể đã truy cập vào các hệ thống lưu trữ biến môi trường của khách hàng, vốn có thể chứa khóa API và các thông tin xác thực khác. Railway đã tạm dừng việc xây dựng và triển khai, đồng thời khuyến nghị người dùng thay thế các bí mật đang lưu trữ. Các nhà phát triển tiền mã hóa dùng Railway cho bot giao dịch hoặc những dịch vụ khác nên xem khóa API sàn giao dịch, thông tin xác thực ví và mã thông báo RPC là có khả năng đã bị lộ, rồi thay thế chúng ngay.
Những sự cố an ninh liên quan đến tiền mã hóa này không cho thấy blockchain hay ví tiền bị xâm phạm trên diện rộng, nhưng làm nổi bật các rủi ro từ phần mềm và cơ sở hạ tầng đám mây được dùng để vận hành dịch vụ tiền mã hóa.
Neutral
Các sự cố này tạo ra những rủi ro vận hành đáng kể đối với các nhà phát triển bị ảnh hưởng, nhưng bài viết không ghi nhận việc ví tiền mã hóa, blockchain hay nền tảng giao dịch bị xâm phạm trên diện rộng và đã được xác nhận. Thông tin về Railway liên quan trực tiếp nhất đến người dùng tiền mã hóa: việc lộ thông tin xác thực API của sàn giao dịch, bí mật ví hoặc token RPC có thể dẫn đến các giao dịch hoặc lệnh mua bán trái phép. Người dùng nền tảng bị ảnh hưởng nên đổi thông tin xác thực và kiểm tra hoạt động tài khoản; việc này có thể gây gián đoạn ngắn hạn đối với một số dịch vụ riêng lẻ.
Các lỗ hổng PHP và Node.js đáng lưu ý vì những công nghệ này được sử dụng trong ứng dụng web và cơ sở hạ tầng, nhưng khả năng khai thác phụ thuộc vào việc sử dụng phiên bản dễ bị tổn thương và trong một số trường hợp còn phụ thuộc vào cấu hình ứng dụng cụ thể. Bài viết cũng lưu ý không nên xem vấn đề về giá trị ngẫu nhiên của Node.js là lỗ hổng phổ quát của ví tiền mã hóa.
Trong quá khứ, các sự cố đánh cắp thông tin xác thực của sàn giao dịch hoặc bí mật trên nền tảng đám mây thường dẫn đến việc tăng cường kiểm tra bảo mật và gây ra hoạt động bán tháo cục bộ hoặc gián đoạn dịch vụ khi tổn thất được xác nhận. Trong trường hợp này, quy mô thông tin có thể đã bị lộ tại Railway vẫn chưa rõ, và chưa có báo cáo về tổn thất tài sản hay gián đoạn trên toàn thị trường. Nhà giao dịch có thể theo dõi các thông báo và dự án bị ảnh hưởng, nhưng chỉ riêng thông tin này khó có thể làm thay đổi xu hướng chung của thị trường tiền mã hóa. Về lâu dài, các sự kiện này nhấn mạnh sự cần thiết của việc đổi thông tin xác thực, giới hạn quyền truy cập API ở mức tối thiểu cần thiết và áp dụng quy trình triển khai an toàn, chứ không hàm ý có mối đe dọa mang tính hệ thống đối với tài sản tiền mã hóa.