Cửa hậu trong VS Code ở dự án Solidity nhắm vào dữ liệu tiền mã hóa
SlowMist phát hiện một cửa hậu đánh cắp dữ liệu trong kho lưu trữ GitHub Hylance/sol-live, vốn được giới thiệu là dự án luyện tập phỏng vấn Solidity. Mã độc được giấu trong cài đặt không gian làm việc của VS Code và có thể chạy khi người dùng chọn cấu hình terminal tùy chỉnh của dự án. Trên macOS và Linux, nó tải xuống rồi thực thi một tập lệnh từ xa; việc thực thi trên Windows chưa được xác nhận do có thể xảy ra lỗi về dấu ngoặc kép.
Phân tích mã đã lưu trữ và các payload còn được giữ lại cho thấy mã độc có khả năng thu thập cơ sở dữ liệu đăng nhập của trình duyệt và dữ liệu từ tiện ích mở rộng ví, sao chép các tệp Keychain của macOS, quét và tải lên tệp cục bộ, theo dõi nội dung khay nhớ tạm, đồng thời chạy lệnh thông qua một kênh điều khiển từ xa. Hàm giải mã mật khẩu trình duyệt trả về giá trị rỗng; các nhà điều tra chưa xác minh được rằng mật khẩu, cụm từ khôi phục hay khóa riêng đã bị giải mã hoặc đánh cắp. Họ cũng không chạy mẫu mã và chưa xác nhận có thiết bị nạn nhân bị nhiễm hoặc dữ liệu bị tuồn ra ngoài.
SlowMist khuyến nghị người dùng đã chạy cấu hình terminal độc hại của dự án kiểm tra thiết bị của mình và, nếu không thể loại trừ khả năng bị lộ dữ liệu, hãy chuyển tài sản trong ví và đổi thông tin đăng nhập bằng một thiết bị đáng tin cậy. Sự việc cho thấy rủi ro chuỗi cung ứng phần mềm đối với các nhà phát triển tiền mã hóa: chưa có xác nhận rằng chỉ mở kho lưu trữ là đủ để kích hoạt cửa hậu.
Neutral
Báo cáo chỉ ra rủi ro bảo mật nghiêm trọng đối với các nhà phát triển cá nhân và người dùng tiền mã hóa, nhưng không chứng minh có một vụ xâm phạm trên toàn thị trường, cũng không xác nhận số nạn nhân hay khoản tiền bị thất thoát. Phân tích dựa trên mã nguồn được lưu trữ và các payload được giữ lại; các nhà nghiên cứu không chạy mã độc và cũng không xác nhận rằng bí mật ví đã bị giải mã hoặc đánh cắp. Theo báo cáo, quy trình giải mã mật khẩu trình duyệt trả về giá trị trống, điều này càng hạn chế những khẳng định về dữ liệu mà kẻ tấn công thực sự thu được.
Trong ngắn hạn, các nhà phát triển bị ảnh hưởng có thể kiểm tra nhật ký thiết bị đầu cuối và mạng, đổi thông tin đăng nhập, chuyển ví bằng các thiết bị đáng tin cậy và thu hồi những quyền cấp cho hợp đồng có rủi ro. Các biện pháp phòng ngừa có mục tiêu này có thể gây ra mối lo ngại hạn chế trong nhóm người dùng kho mã được nêu tên hoặc các dự án liên quan, nhưng bài viết không đưa ra bằng chứng về sự gián đoạn rộng hơn đối với hoạt động giao dịch tiền mã hóa, hoạt động của các sàn giao dịch hay mạng blockchain. Những tiết lộ tương tự về mã độc nhắm vào công cụ phát triển và chuỗi cung ứng thường dẫn đến các đợt kiểm tra bảo mật và sự thận trọng cao hơn, thay vì làm giá các đồng tiền mã hóa lớn biến động kéo dài, trừ khi sau đó có vụ đánh cắp tài sản quy mô lớn được xác nhận.
Về dài hạn, sự cố này có thể thúc đẩy việc rà soát nghiêm ngặt hơn các thiết lập workspace của VS Code và những cấu hình phát triển khác, cũng như cải thiện hoạt động quét mã độc trong các kho mã. Nhà giao dịch nên theo dõi các trường hợp lây nhiễm đã được xác nhận, tài sản bị đánh cắp hoặc chiến dịch trên diện rộng hơn trước khi xem đây là yếu tố tác động đến thị trường. Với thông tin hiện có, tác động có khả năng xảy ra là mối lo ngại bảo mật trong phạm vi hạn chế, chứ không phải tín hiệu định hướng cho giá tiền mã hóa.