Nhà thầu liên quan đến Triều Tiên thâm nhập MetaMask suốt một tháng, lỗ hổng thực sự của dự án crypto không nằm trong mã nguồn

Tác giả: Liam 'Akiba' Wright

Biên dịch: Deep Tide TechFlow

Deep Tide dẫn đọc: Một nhà thầu liên quan Triều Tiên đã xâm nhập kho mã của MetaMask thông qua một nhà cung cấp bên thứ ba, làm việc từ ngày 9 tháng 3 cho đến tận tháng 4 thì bị cắt quyền. Mặc dù Consensys cho biết không phát hiện bị đánh cắp tài sản hay triển khai mã độc, nhưng sự việc này phơi bày lỗ hổng chí mạng trong quản lý thuê ngoài của các dự án crypto: 76% số tiền DeFi bị đánh cắp đến từ sự thất thủ quyền truy cập ở lớp vận hành, chứ không phải do lỗ hổng mã.

Consensys cho biết một nhà thầu do bên thứ ba giới thiệu đã tham gia công việc trên mã nguồn MetaMask từ ngày 9 tháng 3, cho đến khi bị chặn quyền truy cập vào tháng 4. Sau đó, Consensys mô tả người này là có liên hệ với Triều Tiên.

Consensys cho biết, trong quá trình điều tra không phát hiện bất kỳ tài sản hay dữ liệu nào bị chiếm đoạt, không phát hiện việc triển khai mã độc, và không có tác động đến an toàn người dùng. Tổng cố vấn pháp lý Matt Corva cho biết công ty đã nhanh chóng nhận diện mối đe dọa, chấm dứt truy cập, tiến hành điều tra toàn diện và thông báo cho cơ quan thực thi pháp luật.

Báo cáo của Drop Site cho biết một cảnh báo nội bộ trong tháng 4 yêu cầu tạm dừng mọi bản phát hành sản phẩm để phục vụ điều tra, đồng thời dặn nhân viên không tương tác với vị cố vấn này. Corva cho biết mối quan hệ với nhà cung cấp dịch vụ diễn ra tốt đẹp, và Consensys sau đó đã rà soát các thực hành dịch vụ bên thứ ba của đơn vị này; các tiêu chuẩn nghiêm ngặt áp dụng cho nhân viên cũng được mở rộng sang các quan hệ bên ngoài phức tạp hơn.

Rà soát nhà thầu cần hạn chế quyền truy cập kho mã

Không có dấu hiệu cho thấy tài khoản người dùng hay tài sản ví bị tổn hại. Mối quan hệ hiện có giữa Consensys và nhà cung cấp vẫn để lại một lỗ hổng: mỗi nhà thầu và mỗi tài khoản đều cần các biện pháp bảo đảm riêng.

Hướng dẫn an toàn chung của MetaMask cảnh báo rằng tác nhân độc hại có thể dùng danh tính giả mạo và giấy tờ giả để giành vị trí làm từ xa. Nó khuyến nghị kiểm tra giấy tờ thực, phỏng vấn nhiều vòng, xác thực phần cứng, xác minh IP và vị trí, điều tra lý lịch, và hạn chế quyền truy cập vào hệ thống then chốt.

FBI cũng cảnh báo rằng các nhân sự IT của Triều Tiên sử dụng quyền truy cập mạng của công ty để sao chép kho mã. Hướng dẫn của họ yêu cầu xác thực danh tính trong suốt quá trình phỏng vấn, nhận việc và suốt thời gian làm việc; kiểm toán định kỳ các công ty nhân sự bên thứ ba; truy cập theo nguyên tắc quyền tối thiểu; và theo dõi các kết nối từ xa bất thường hoặc rò rỉ kho mã.

Quyền truy cập kho mã và rà soát là biện pháp bảo đảm cốt lõi

Sau khi vào làm, quyền truy cập kho mã và rà soát trở thành các biện pháp bảo đảm cốt lõi. Hướng dẫn của Trung tâm An ninh mạng Quốc gia Anh (NCSC) khuyến nghị làm cho mọi hoạt động trong kho mã có thể truy vết được, rà soát từng thay đổi trong môi trường sản xuất, thực hiện thẩm tra bổ sung đối với các đóng góp từ bên ngoài, và nhanh chóng thu hồi quyền truy cập khi không còn cần thiết. Thông tin xác thực được hỗ trợ bởi phần cứng có thể bảo vệ tài khoản khỏi bị đánh cắp thông tin xác thực, trong khi việc giới hạn chặt chẽ quyền và rà soát độc lập có thể hạn chế phạm vi mà các tài khoản được ủy quyền có thể thay đổi.

CryptoSlate hôm 5 tháng 7 đưa tin rằng trong nửa đầu năm 2026, các cuộc tấn công ở lớp vận hành liên quan đến khóa, lưu ký, ký và hệ thống phê duyệt chiếm khoảng 76% số tiền bị đánh cắp, dù lỗ hổng hợp đồng thông minh xảy ra thường xuyên hơn. Khoảng cách này cho thấy vì sao việc kiểm soát truy cập và vận hành lại quan trọng, ngay cả khi số sự cố do chúng gây ra ít hơn.

Nhóm ví và nhóm giao thức nên coi quyền truy cập của nhà thầu là điều kiện có thể bị thu hồi liên tục. Việc kiểm tra danh tính cần diễn ra xuyên suốt thời gian làm việc; các công ty bên thứ ba phải được chấp nhận kiểm toán; quyền truy cập kho mã phải được giữ hẹp và có thể quan sát; mọi thay đổi đối với từng môi trường sản xuất phải được rà soát độc lập; và ngay khi không còn cần thiết thì phải lập tức thu hồi quyền truy cập.

Việc Consensys tạm dừng phát hành vào tháng 4 cũng cho thấy giá trị của việc lưu sẵn một cách thức được định nghĩa trước để dừng thay đổi, nhằm sử dụng khi điều tra các truy cập đáng ngờ.