Mục tiêu chính của Coinbase trong GitHub Action Supply Chain Attack

Các chuyên gia an ninh mạng xác địnhTiền điện tử là mục tiêu chính của cuộc tấn công chuỗi cung ứng GitHub Action.

Các báo cáo ban đầu cho biết kẻ tấn công đầu tiên đã cố gắng xâm phạm dự án mã nguồn mở AgentKit của Coinbase.

Sau khi thất bại, chúng mở rộng phạm vi bằng cách khai thác GitHub Actions để xâm nhập vào nhiều kho lưu trữ.

Các nhà phân tích cho rằng kẻ tấn công có mục đích xâm phạm hệ sinh thái của Coinbase để đánh cắp tài sản tiền điện tử nhưng đã bị ngăn chặn nhờ khả năng phát hiện và phản ứng nhanh chóng của sàn giao dịch.

Theo công ty an ninh mạng Wiz , một phân tích về danh tính GitHub có liên quan đến cuộc tấn công cho thấy thủ phạm là một thành viên tích cực của cộng đồng tiền điện tử, có khả năng hoạt động từ Châu Âu hoặc Châu Phi.

Mặc dù Coinbase chưa công khai giải quyết sự cố, các chuyên gia báo cáo rằng sàn giao dịch này đã xác nhận rằng vi phạm đã được khắc phục.

Cuộc điều tra sâu hơn cho thấy những kẻ xấu đã đưa mã vào quy trình làm việc “tj-actions/changed-files”, đang cố gắng trích xuất dữ liệu nhạy cảm từ các kho lưu trữ bị ảnh hưởng.

Coinbase đã chống trả kẻ tấn công như thế nào

Coinbase, sàn giao dịch tiền điện tử lớn nhất Hoa Kỳ, đã ngăn chặn thành công một cuộc tấn công chuỗi cung ứng nhằm vào cơ sở hạ tầng mã nguồn mở của mình.

Theo công ty an ninh mạng Unit 42, kẻ tấn công đã nhắm mục tiêu vào AgentKit, một bộ công cụ mã nguồn mở do Coinbase quản lý dành cho blockchainTác nhân AI.

Bằng cách phân nhánh kho lưu trữ AgentKit và OnchainKit trên GitHub, kẻ tấn công đã đưa mã độc vào được thiết kế để khai thác đường ống tích hợp liên tục.

Nỗ lực xâm phạm lần đầu tiên được phát hiện vào ngày 14 tháng 3 năm 2025.

Kẻ tấn công đã lợi dụng quyền "ghi tất cả" của GitHub để chèn mã độc hại vào quy trình làm việc tự động của dự án, có khả năng làm lộ dữ liệu nhạy cảm và tạo điều kiện cho các hành vi xâm phạm tiếp theo.

Trong khi Đơn vị 42 xác nhận rằng dữ liệu thu thập được có chứa thông tin nhạy cảm, thì nó không bao gồm các hoạt động khai thác nâng cao như thực thi mã từ xa hoặc tấn công shell ngược.

Coinbase đã phản ứng nhanh chóng bằng cách làm việc với các chuyên gia bảo mật để xác định mối đe dọa và thực hiện các biện pháp giảm thiểu.

Sự can thiệp nhanh chóng này đã ngăn chặn sự xâm nhập sâu hơn và bảo vệ cơ sở hạ tầng của sàn giao dịch khỏi những rủi ro tiếp theo.

Kẻ xấu chuyển hướng tập trung sang mục tiêu rộng hơn

Sau khi Coinbase ngăn chặn thành công cuộc tấn công có chủ đích, kẻ tấn công đã chuyển hướng tập trung sang một cuộc tấn công chuỗi cung ứng rộng hơn, lần này nhắm vào GitHub Actions.

Endor Labs đã xác định rằng 218 kho lưu trữ GitHub đã bị xâm phạm, làm lộ thông tin nhạy cảm.

Tuy nhiên, dữ liệu bị rò rỉ chủ yếu bao gồm thông tin đăng nhập cho các nền tảng như Amazon Web Services, npm, Dockerhub và mã thông báo truy cập GitHub.

May mắn thay, tác động không nghiêm trọng như lo ngại ban đầu vì nhiều mã thông báo GitHub bị lộ đã hết hạn sau khi quy trình công việc hoàn tất.

Nhà nghiên cứu Henrik Plate của Endor Labs cho biết:

“Quy mô ban đầu của cuộc tấn công chuỗi cung ứng nghe có vẻ đáng sợ, khi mà hàng chục nghìn kho lưu trữ phụ thuộc vào GitHub Action.”

Các chuyên gia an ninh hiện đang điều tra động cơ đằng sau vụ tấn công.

Trong khi một số người nghi ngờ mục đích chính là đánh cắp tài sản tiền điện tử từCoinbase, việc giải quyết nhanh chóng vụ việc có thể đã buộc kẻ tấn công phải thay đổi hành động.

Thay vì tiếp tục tấn công tập trung vào Coinbase, chúng mở rộng nỗ lực xâm nhập vào nhiều dự án khác nhau thông qua cuộc tấn công chuỗi cung ứng quy mô lớn này.

Các mối đe dọa bảo mật tiếp tục nhắm vào các dự án tiền điện tử

Vụ tấn công thất bại vào Coinbase nhấn mạnh những mối đe dọa dai dẳng nhắm vào các dự án tiền điện tử.

Yu Jian, người sáng lập SlowMist, đã nhấn mạnh mức độ nghiêm trọng tiềm ẩn của vụ vi phạm, lưu ý rằng nếu thành công, Coinbase có thể là sự cố bảo mật lớn tiếp theo, ám chỉ vụ hack ByBit trị giá 1,5 tỷ đô la vào tháng 2 năm 2025.

Jian cũng khuyên các công ty sử dụng các công cụ như tj-actions hoặc reviewdog nên tiến hành kiểm tra kỹ lưỡng để đảm bảo bí mật của họ được an toàn.

Các cuộc tấn công vào chuỗi cung ứng như thế này đã gây ra những tổn thất đáng kể trong quá khứ.

Vào năm 2024, một lỗ hổng nhắm vào các bản cập nhật cho gói npm của Lottie Player đã khiến một người dùng mất 10 BTC, trị giá 725.000 đô la.

Tương tự như vậy, các lỗ hổng bảo mật tiếp tục gây ảnh hưởng đến không gian Web3, với ZOTH, một nền tảng để khôi phục tài sản, mất hơn 8 triệu đô la sau mộtkẻ xấu đã giành được quyền quản trị và sửa đổi hợp đồng logic của mình.

Điều này nhấn mạnh những rủi ro đang diễn ra trong hệ sinh thái tiền điện tử.