Cảnh Báo: Tấn Công Supply Chain Trên NPM Ảnh Hưởng Hơn Hàng Tỷ Lượt Tải

• 11/09/2025

Một cuộc tấn công chuỗi cung ứng (supply chain) chưa từng có đã xuất hiện trên NPM - hệ sinh thái chia sẻ package JavaScript quan trọng bậc nhất thế giới phần mềm. Được các chuyên gia an ninh mạng đánh giá là một trong những mối đe dọa nghiêm trọng nhất năm 2025, cuộc tấn công này đã xâm nhập vào hàng loạt thư viện code nền tảng với tổng cộng hơn 2,6 tỷ lượt tải xuống hàng tuần. Quy mô của sự cố khiến hàng triệu website, ứng dụng và hệ thống trên toàn cầu có nguy cơ bị ảnh hưởng, đặc biệt là các dịch vụ liên quan đến tài sản số và tiền mã hóa.



Cách thức tấn công

Kẻ tấn công đã:

• Giả mạo email từ NPM để lừa đảo (phishing) một maintainer nổi tiếng – Josh Junon (tài khoản "qix"), chủ nhiều gói phổ biến như Chalk, debug, strip-ansi…

• Sau khi chiếm được tài khoản, hacker đã chèn mã độc trực tiếp vào file index.js của nhiều package.

                                                                    ( Email lừa đảo )
 

• Mã độc có khả năng xâm nhập trình duyệt, hook vào các API như fetch, XMLHttpRequest, cũng như các ví tiền số (Ethereum, Solana, Tron…) nhằm:

  • Theo dõi giao dịch tiền mã hóa.
  • Thay đổi địa chỉ ví đích sang ví của hacker.
  • Chiếm đoạt tài sản số ngay trước khi giao dịch được ký và gửi đi.

Nói cách khác, người dùng tưởng đang gửi tiền đến ví hợp pháp, nhưng thực tế toàn bộ tài sản bị chuyển vào ví của kẻ tấn công.

Các package bị nhiễm mã độc

Tổng cộng: Hơn 2,6 tỷ lượt tải hàng tuần bị ảnh hưởng, trong đó nhiều package là thành phần thiết yếu của hầu hết ứng dụng JavaScript hiện đại.

Nguy cơ thực tế

Mặc dù sự cố chỉ ảnh hưởng đến các gói được cài đặt mới trong khung thời gian 9h – 11h30 sáng ET ngày 10/09/2025, nhưng rủi ro vẫn rất đáng lo ngại:

• Các hệ thống CI/CD tự động có thể đã vô tình cài bản nhiễm độc.
• Giao dịch tiền mã hóa có thể bị chuyển hướng.
• Ứng dụng web trở thành công cụ phát tán mã độc đến người dùng cuối.

Khuyến nghị từ chuyên gia
Đối với nhà phát triển:

• Rà soát các package cài đặt trong thời gian bị ảnh hưởng.
• Cập nhật lên phiên bản an toàn mới nhất.
• Sử dụng package-lock.json / yarn.lock để cố định phiên bản.
• Bật xác thực 2FA cho tài khoản NPM/GitHub.
• Thường xuyên kiểm tra log CI/CD để phát hiện hành vi bất thường.

Đối với doanh nghiệp và người dùng cuối:

• Kiểm tra kỹ địa chỉ ví trước khi xác nhận giao dịch.
• Sử dụng ví phần cứng, plugin bảo mật và trình duyệt an toàn.
• Luôn cảnh giác với các ứng dụng web tích hợp ví tiền mã hóa.

💡 Thông điệp quan trọng: Trong thời đại mà phần mềm ngày càng trở nên vô cùng quan trọng, việc đảm bảo an ninh cho hệ thống là yếu tố sống còn. Đừng để một lỗ hổng nhỏ trở thành cánh cửa mở cho kẻ xâm nhập.
(Theo WhiteHat)