Web3 Security Stack Nổi Bật Mối Đe Dọa Từ Gói NPM Độc Hại

TheNewsCryptoXuất bản vào 2026-03-10Cập nhật gần nhất vào 2026-03-10

Tóm tắt

Web3 Antivirus, một nền tảng bảo mật Web3, đã cảnh báo về một gói NPM độc hại có khả năng triển khai RAT (Remote Access Trojan). Gói này được ngụy trang dưới dạng trình cài đặt OpenClaw nhằm mục đích chính là đánh cắp thông tin đăng nhập trên macOS. Sau khi cài đặt, nó khởi chạy một bộ cài đặt CLI giả mạo để yêu cầu mật khẩu Keychain. Nếu người dùng cung cấp, phần mềm độc hại sẽ thu thập các cụm seed phrase, thông tin đăng nhập trình duyệt, dữ liệu ví tiền mã hóa và khóa SSH & cloud, sau đó gửi tất cả đến máy chủ của kẻ tấn công. Trước đó, Web3 Antivirus cũng đã cảnh báo về một tiện ích Chrome hợp pháp bị chuyển quyền sở hữu và trở thành công cụ độc hại, cho phép kẻ tấn công đánh cắp dữ liệu người dùng. Hai tiện ích có tên QuickLens và ShotBird với lần lượt 7.000 và 800 người dùng đã bị ảnh hưởng. Các mối đe dọa bảo mật Web3 hàng đầu được dự báo vào năm 2026 bao gồm khai thác hợp đồng thông minh, lừa đảo giả mạo và social engineering. Các rủi ro khác như wallet drainer, thao túng khóa private và thao túng oracle giá cũng được nhấn mạnh, với mục tiêu cuối cùng là đánh cắp dữ liệu và rút sạch tiền của người dùng.

Web3 Antivirus, hay còn gọi là bộ bảo mật Web3, đã làm nổi bật mối đe dọa từ một gói NPM độc hại. Trước đó, họ đã cảnh báo về mối đe dọa từ một tiện ích mở rộng Chrome hợp pháp. Đáng chú ý, khai thác hợp đồng thông minh và lừa đảo & kỹ thuật xã hội là một số mối đe dọa bảo mật Web3 hàng đầu cần lưu ý vào năm 2026.

Vấn Đề Bảo Mật Web3 Được Cảnh Báo

Web3 Antivirus đã đăng một bài viết trên X để thông báo cho cộng đồng rằng một gói NPM độc hại đã bị phát hiện triển khai RAT. Nó được ngụy trang dưới dạng trình cài đặt OpenClaw với mục tiêu chính là đánh cắp thông tin đăng nhập của macOS. Web3 Antivirus đã trình bày chi tiết hơn cho cộng đồng về cách hành động này được thực hiện.

Gói này khởi chạy một trình cài đặt CLI giả mạo sau khi được cài đặt bình thường. Khi được khởi chạy, nó yêu cầu mật khẩu Keychain của macOS. Khuyến cáo không nên cung cấp vì một khi đã chia sẻ, phần mềm độc hại có thể trích xuất nhiều thông tin. Điều này bao gồm cụm từ khôi phục (seed phrases), thông tin đăng nhập trình duyệt, dữ liệu ví tiền mã hóa và khóa SSH & đám mây.

Tất cả các thông tin này sẽ được gửi đến máy chủ của kẻ tấn công. Với điều này, Web3 đang chứng kiến các loại mối đe dọa khác nhau đối với người dùng trên toàn thế giới.

Mối Đe Dọa Đã Được Cảnh Báo Trước Đó

Web3 Antivirus trước đó đã cảnh báo về mối đe dọa từ một tiện ích mở rộng Chrome hợp pháp. Họ cảnh báo rằng nó đã trở nên độc hại sau khi quyền sở hữu được chuyển giao. Điều này cho phép kẻ tấn công tiêm mã vào các trang web và đánh cắp dữ liệu của người dùng. Theo bộ bảo mật Web3, bản cập nhật đã loại bỏ các tiêu đề bảo mật và dấu vết trước khi kéo các tập lệnh độc hại từ một máy chủ từ xa.

Đối với cộng đồng crypto, hành động như vậy có thể biến thành trộm cắp các phiên trao đổi, ví bị xâm phạm, thông tin đăng nhập trình duyệt và lừa đảo cụm từ khôi phục.

Họ đã đặt tên cho hai tiện ích mở rộng: QuickLens và ShotBird, đồng thời cho biết thêm rằng chúng lần lượt có 7.000 và 800 người dùng.

Các Mối Đe Dọa Bảo Mật Web3 Hàng Đầu Năm 2026

Một số mối đe dọa bảo mật Web3 hàng đầu vào năm 2026 là khai thác hợp đồng thông minh và lừa đảo & kỹ thuật xã hội. Cái trước chủ yếu liên quan đến các lỗ hổng trong mã. Điều này đề cập đến việc gây ra lỗi logic, các vấn đề về xác thực đầu vào và lỗi kiểm soát truy cập.

Cái sau, như tên gọi cho thấy, liên quan đến việc thực hiện các cuộc gọi giả mạo hoặc mạo danh các đối tác để tấn công người dùng và nhà phát triển – thậm chí cả những người sáng lập trong một số trường hợp.

Những mối đe dọa khác trong danh sách là công cụ rút tiền ví (wallet drainers), thao túng khóa riêng tư và thao túng oracle giá. Mục tiêu cuối cùng của các actor độc hại là đánh cắp dữ liệu và rút cạn tiền hoặc tác động tiêu cực đến hệ thống.

Một số lỗ hổng phổ biến là lỗi kiểm soát truy cập, lỗi logic và truy vấn API không được ký.

Tin Tức Crypto Nổi Bật Hôm Nay:

Hợp Tác Nasdaq Nhắm Mục Tiêu Giao Dịch và Thanh Toán Chứng Khoán Được Token Hóa Toàn Châu Âu

TagsWeb3

Câu hỏi Liên quan

QWeb3 Antivirus đã phát hiện mối đe dọa nào từ gói NPM độc hại?

AWeb3 Antivirus phát hiện một gói NPM độc hại đang ngụy trang dưới dạng trình cài đặt OpenClaw, với mục tiêu chính là đánh cắp thông tin đăng nhập trên macOS. Gói này triển khai RAT (Remote Access Trojan) sau khi được cài đặt.

QHành vi độc hại của gói NPM này được thực hiện như thế nào?

ASau khi cài đặt bình thường, gói này khởi chạy một trình cài đặt CLI giả mạo. Nó yêu cầu người dùng nhập mật khẩu Keychain của macOS. Nếu người dùng cung cấp, phần mềm độc hại có thể trích xuất các thông tin quan trọng như seed phrases, thông tin đăng nhập trình duyệt, dữ liệu ví crypto và các khóa SSH & cloud, sau đó gửi tất cả đến máy chủ của kẻ tấn công.

QWeb3 Antivirus trước đó đã cảnh báo về mối đe dọa nào từ tiện ích Chrome?

AWeb3 Antivirus trước đó đã cảnh báo về mối đe dọa từ các tiện ích Chrome hợp pháp (có tên là QuickLens và ShotBird) sau khi quyền sở hữu được chuyển giao và chúng trở nên độc hại. Các tiện ích này có thể tiêm mã vào trang web để đánh cắp dữ liệu người dùng.

QCác mối đe dọa bảo mật Web3 hàng đầu được dự báo cho năm 2026 là gì?

ACác mối đe dọa bảo mật Web3 hàng đầu được dự báo cho năm 2026 bao gồm khai thác hợp đồng thông minh (smart contract exploits) và lừa đảo giả mạo & thao túng xã hội (phishing & social engineering). Ngoài ra còn có các mối đe dọa như wallet drainers, thao túng khóa riêng tư và thao túng oracle giá.

QMục tiêu cuối cùng của các tác nhân độc hại trong các cuộc tấn công Web3 là gì?

AMục tiêu cuối cùng của các tác nhân độc hại là đánh cắp dữ liệu, rút cạn tiền (drain funds) hoặc tác động tiêu cực đến hệ thống.

Nội dung Liên quan

Đối thoại với Ray Dalio: Chúng ta đang ở trong bong bóng AI, 1% danh mục đầu tư của tôi là Bitcoin

Ray Dalio, người sáng lập Bridgewater Associates, trong một cuộc phỏng vấn đã chỉ ra rằng thế giới hiện tại đang trong một "AI bubble" (bong bóng AI) cổ điển, với giá tài sản tăng vọt và đầu cơ quá mức. Ông cảnh báo bong bóng có thể vỡ do lãi suất tăng, nguồn cung cổ phiếu dư thừa hoặc khi nhà đầu tư cần tiền mặt trả nợ, dẫn đến suy thoái kinh tế. Đồng thời, Dalio mô tả một "chu kỳ lớn" kéo dài khoảng 80 năm, bao gồm ba động lực chồng chéo: khoảng cách giàu nghèo và xung đột nội bộ, thâm hụt ngân sách chính phủ khổng lồ và thay đổi địa chính trị. Ông nhấn mạnh rằng Mỹ và Anh đang đối mặt với những thách thức trong giai đoạn suy yếu này. Để bảo vệ của cải, Dalio khuyến nghị đa dạng hóa danh mục đầu tư với cổ phiếu, vàng, trái phiếu, bất động sản thay vì chỉ giữ tiền mặt. Ông tiết lộ khoảng 1% danh mục của mình là Bitcoin, nhưng vẫn ưa chuộng vàng vật chất hơn do tính ổn định và vai trò tiền tệ dự trữ. Về tác động của AI, Dalio cho rằng nó không chỉ thay thế lao động chân tay mà còn cả tư duy, làm trầm trọng thêm bất bình đẳng thu nhập. Con người cần phát huy trí tuệ cảm xúc và trực giác - những thứ AI chưa có - và học cách hợp tác với AI. Cuối cùng, ông phân tích những rủi ro của thuế tài sản và xu hướng thế giới có thể trở nên "khu vực hóa" hơn, với các khối như châu Mỹ và châu Á - Thái Bình Dương, trong bối cảnh sự thống trị toàn cầu của Mỹ đang suy yếu.

marsbit1 giờ trước

Đối thoại với Ray Dalio: Chúng ta đang ở trong bong bóng AI, 1% danh mục đầu tư của tôi là Bitcoin

marsbit1 giờ trước

Hơn 7.2 nghìn tỷ won trong một ngày, ngoại hải nước ngoài mua ròng kỷ lục vào thứ Sáu! Phố Wall: Cơn gió ngược về mặt vốn của thị trường chứng khoán Hàn Quốc đã tan biến

Dòng vốn nước ngoài đổ mạnh vào thị trường chứng khoán Hàn Quốc (KOSPI) với mức mua ròng kỷ lục 7,2 nghìn tỷ won chỉ trong ngày 31/7, đánh dấu sự đảo chiều rõ rệt sau nhiều tháng bán ròng mạnh. Theo báo cáo từ Citigroup, áp lực bán từ dòng vốn nước ngoài đã giảm đáng kể, với mức bán ròng tháng 7 thu hẹp còn 9,8 nghìn tỷ won so với mức 48,4 và 44,5 nghìn tỷ won trong tháng 6 và tháng 5. Đồng thời, các quỹ hưu trí và quỹ đầu tư trong nước cũng chuyển sang vị thế mua ròng 1,0 nghìn tỷ won trong tháng 7. Một yếu tố hỗ trợ khác là quy định mới từ Ủy ban Dịch vụ Tài chính Hàn Quốc (FSC), có hiệu lực từ 31/7, siết chặt điều kiện đầu tư vào các ETF có đòn bẩy đối với nhà đầu tư cá nhân. Quy định này đã ngay lập tức làm giảm khoảng 50% khối lượng giao dịch của các ETF này, góp phần kỳ vọng giảm bớt biến động cho thị trường. Citigroup duy trì mục tiêu chỉ số KOSPI ở mức 10.000 điểm, dựa trên các yếu tố thuận lợi như ngành chip bán dẫn ổn định, định giá thị trường thấp, nền tảng kinh tế vững mạnh và các chính sách hỗ trợ. Họ nhận định áp lực dòng vốn ngược chiều đang giảm dần, tạo điều kiện cho các yếu tố cơ bản và chính sách tích cực phát huy tác dụng.

marsbit1 giờ trước

Hơn 7.2 nghìn tỷ won trong một ngày, ngoại hải nước ngoài mua ròng kỷ lục vào thứ Sáu! Phố Wall: Cơn gió ngược về mặt vốn của thị trường chứng khoán Hàn Quốc đã tan biến

marsbit1 giờ trước

Tin khẩn cấp! OpenAI thế hệ tiếp theo phá giải 10 bài toán cấp Fields Medal

OpenAI vừa công bố mô hình AI thế hệ tiếp theo tên Astra, tuyên bố đã đột phá 10 vấn đề toán học ở đẳng cấp giải Fields. Trong số này, nổi bật là việc tạo ra nhóm "không sofic" đầu tiên, phủ định giả thuyết tồn tại từ năm 1999; đột phá giới hạn 46 năm trong bài toán xếp cầu ở không gian nhiều chiều; và tìm ra phản ví dụ cho giả thuyết "tính cứng" của nhà toán học Alain Connes. Các kết quả được công bố trong một bài báo dài 249 trang, đã được xác minh bằng công cụ Lean 4. Chi phí để tạo ra các chứng minh này được cho là chưa đến 2.000 USD. Cộng đồng toán học quốc tế đã phản ứng mạnh mẽ, nhiều chuyên gia nhận định đây là thành tựu AI hỗ trợ toán học quan trọng nhất từ trước đến nay, đánh dấu một bước ngoặt trong hành trình phát triển AGI.

marsbit3 giờ trước

Tin khẩn cấp! OpenAI thế hệ tiếp theo phá giải 10 bài toán cấp Fields Medal

marsbit3 giờ trước

Làm thế nào để khiến bản thân trở nên không thể bị thay thế bởi trí tuệ nhân tạo

**Tóm tắt: Làm thế nào để trở nên không thể bị thay thế bởi AI** Bài viết phản đối việc than vãn về AI và thay vào đó đề xuất một giải pháp căn cơ: trở thành một "siêu cá nhân" không thể bị thuê mướn. Mối đe dọa thực sự không phải là AI, mà là tình trạng "nô lệ lương thưởng" – phụ thuộc hoàn toàn vào người khác để sinh tồn, làm công việc nhàm chán mà không có mục đích. Để thoát khỏi vòng luẩn quẩn này và phát triển mạnh trong kỷ nguyên AI, bạn cần trau dồi 5 yếu tố then chốt: 1. **Tính tự chủ:** Khả năng hành động mà không cần chờ chỉ thị. 2. **Khiếu thẩm mỹ:** Khả năng nhận biết điều gì thực sự có giá trị. 3. **Khả năng thuyết phục:** Thu hút sự chú ý và sự công nhận. 4. **Sự kiên trì:** Không sợ thất bại, xem đó là bài học. 5. **Khả năng lặp:** Điều chỉnh dựa trên phản hồi để tiến tới mục tiêu. Giải pháp là đầu tư vào sự nghiệp của chính mình. Trong khi AI giỏi tạo ra "tài sản" (nội dung, code), nó không thể thay thế được khả năng phân biệt thứ gì đáng để tạo ra, làm cho mọi người quan tâm và kiên trì theo đuổi. Trong hai kỹ năng đòn bẩy mạnh mẽ là **Code (Lập trình)** và **Media (Nội dung)**, bài viết nhấn mạnh **Nội dung** quan trọng hơn. Giá trị của nội dung là chủ quan và đòi hỏi sự am hiểu, trải nghiệm mà AI khó có được, tạo không gian cho các cá nhân sáng tạo thực sự. **Cách bắt đầu (Bài tập 15 phút):** 1. **Khai thác nguyên liệu thô của bạn:** Xác định chủ đề bạn am hiểu sâu, vấn đề bạn tự giải quyết được, hay sở thích đặc biệt từ nhỏ. 2. **Xác định "trục phản biện" của bạn:** Tìm ra quan điểm độc đáo của bạn – những điều bạn tin là đúng nhưng số đông lại sai trong lĩnh vực của mình. 3. **Xuất bản ý tưởng đầu tiên:** Kết hợp câu trả lời từ bước 1 và 2, tạo ra một nội dung (bài đăng, video) và đăng nó lên. Hành động này mang lại phản hồi thực tế, bắt đầu quá trình học hỏi, lặp lại và phát triển kỹ năng thuyết phục. Bằng cách xây dựng một sự nghiệp xoay quanh con người thật, trải nghiệm thật và góc nhìn độc đáo của mình thông qua nội dung, bạn có thể tạo ra giá trị mà AI không thể sao chép, từ đó trở nên không thể thay thế.

marsbit3 giờ trước

Làm thế nào để khiến bản thân trở nên không thể bị thay thế bởi trí tuệ nhân tạo

marsbit3 giờ trước

Nhờ việc tung xúc xắc, chìa khóa Bitcoin được lưu trữ offline, nhưng không phải ai cũng muốn làm điều này

Cảm biến từ cuộc tranh cãi gần đây xung quanh lỗ hổng trong ví phần cứng Coldcard, bài viết thảo luận về phương pháp tạo seed (cụm từ khôi phục) cho ví Bitcoin bằng cách xúc xắc vật lý. Mỗi lần xúc xắc công bằng cung cấp khoảng 2,6 bit entropy (thước đo tính ngẫu nhiên). Để đạt mức entropy an toàn cho một seed 12 từ (128 bit), cần khoảng 50 lần xúc xắc; Coldcard khuyến nghị 99 lần để đạt mức bảo mật cao hơn. Lợi thế chính của phương pháp này là tách biệt hoàn toàn với bất kỳ lỗi phần cứng hoặc phần mềm nào trong trình tạo số ngẫu nhiên của thiết bị, từ đó bảo vệ seed chính của ví. Tuy nhiên, bài viết cảnh báo rằng trong sự cố Coldcard, các chức năng phụ khác của thiết bị (như tạo ví giấy, khóa đa chữ ký, mật mã phiên USB) vẫn có thể bị ảnh hưởng nếu chúng dựa vào trình tạo số lỗi, ngay cả khi seed chính được tạo an toàn bằng xúc xắc. Nhược điểm lớn của việc dùng xúc xắc là quá trình thủ công, dễ xảy ra sai sót, tốn thời gian và không thực tế cho đa số người dùng mới. Người dùng có thể ghi chép sai, sử dụng xúc xắc gian lận, hoặc để lộ chuỗi kết quả. Do đó, mặc dù có nền tảng toán học vững chắc, phương pháp này đòi hỏi sự tỉ mỉ cao và không phải là giải pháp khả thi cho việc áp dụng Bitcoin rộng rãi. Bài viết kết luận rằng mục tiêu dài hạn vẫn là phát triển phần cứng/phần mềm tạo số ngẫu nhiên mạnh mẽ và đáng tin cậy, trong khi vẫn giữ phương pháp thủ công như một tùy chọn cho người dùng có kinh nghiệm. Cuối cùng, bài viết đưa ra khuyến nghị cho chủ sở hữu Coldcard: cập nhật firmware, kiểm tra các chức năng phụ đã sử dụng và xem xét các biện pháp bảo mật bổ sung như ví đa chữ ký kết hợp nhiều nhà sản xuất để giảm thiểu rủi ro từ một điểm yếu đơn lẻ.

cryptonews.ru6 giờ trước

Nhờ việc tung xúc xắc, chìa khóa Bitcoin được lưu trữ offline, nhưng không phải ai cũng muốn làm điều này

cryptonews.ru6 giờ trước

Giao dịch

Giao ngay
活动图片

Danh mục Phổ biếnright-arrow

Thẻ Nổi bậtright-arrow