Một gói npm độc hại đã lọt vào dự án giao dịch crypto mã nguồn mở sau khi mô hình Claude Opus của Anthropic đưa nó vào như một phụ thuộc. Sự việc khiến kẻ tấn công có thể tiếp cận ví và tiền của người dùng.
Nhóm nghiên cứu an ninh ReversingLabs cho biết họ phát hiện dấu vết xâm nhập trong dự án openpaw-graveyard, một tác nhân giao dịch crypto tự động được lưu trữ trên npm. Họ đặt tên chiến dịch này là PromptMink.
Gói độc hại và cách nó được cài vào dự án
ReversingLabs cho biết commit độc hại được thực hiện vào ngày 28/2/2026. Gói @validate-sdk/v2 bề ngoài giống một công cụ kiểm tra dữ liệu, nhưng thực tế lại được dùng để đánh cắp bí mật từ môi trường máy chủ.
Nhóm tấn công và chuỗi gói mồi nhử
ReversingLabs nói vụ việc có liên quan đến Famous Chollima, một nhóm đe dọa do nhà nước Triều Tiên hậu thuẫn. Theo nhóm nghiên cứu, nhóm này đã phát tán các gói npm độc hại từ ít nhất tháng 9/2025 và ngày càng hoàn thiện cách đánh lừa cả lập trình viên lẫn trợ lý lập trình AI.
Chiến thuật của họ có hai lớp. Lớp đầu là các gói không chứa mã độc, đóng vai trò mồi nhử. Những gói như @solana-launchpad/sdk và @meme-sdk/trade trông giống công cụ thật dành cho nhà phát triển crypto. Lớp thứ hai mới là các gói mang tải độc hại, đồng thời khai báo các phụ thuộc phổ biến như axios và bn.js để tăng vẻ đáng tin.
Khi các gói ở lớp hai bị phát hiện và gỡ khỏi npm, nhóm tấn công nhanh chóng thay bằng gói khác mà không làm mất uy tín đã xây dựng quanh các gói mồi nhử. ReversingLabs cho biết sau khi @hash-validator/v2 bị xóa khỏi npm, cùng ngày họ đã đưa @validate-sdk/v2 lên với cùng số phiên bản và cùng mã nguồn.
Vì sao AI agent dễ bị khai thác hơn con người
Theo các nhà nghiên cứu, cách làm này dường như phù hợp hơn với trợ lý lập trình AI so với lập trình viên. Nhóm tấn công viết tài liệu dài và chi tiết cho các gói độc hại, một kiểu mà ReversingLabs gọi là lạm dụng tối ưu hóa LLM. Mục tiêu là khiến gói trông đủ hợp lý để tác nhân AI đề xuất hoặc cài đặt mà không đặt nhiều nghi ngờ.
ReversingLabs cũng cho biết các gói bị nhiễm được tạo bằng công cụ AI sinh sinh, và trong phần ghi chú tệp vẫn còn dấu vết từ đầu ra của LLM. Từ cuối năm 2025, PromptMink đã thay đổi nhiều hình thức. Ban đầu nó là một JavaScript infostealer đơn giản, sau đó chuyển sang các ứng dụng lớn chỉ có một tệp thực thi, và hiện nay xuất hiện dưới dạng tải trọng Rust đã biên dịch để khó bị phát hiện hơn.
Dữ liệu nào bị nhắm tới
Khi được cài vào máy, mã độc tìm các tệp cấu hình liên quan đến crypto, đánh cắp thông tin đăng nhập ví và dữ liệu hệ thống, nén rồi tự gửi mã nguồn dự án về phía kẻ tấn công. Nó cũng thả khóa SSH trên máy Linux và Windows để duy trì quyền truy cập từ xa.
Những gì hiện vẫn chưa rõ
Dữ liệu hiện có chưa cho thấy quy mô đầy đủ của số nạn nhân hay lượng tiền bị ảnh hưởng. Cũng chưa có thêm chi tiết về phạm vi lây nhiễm trong openpaw-graveyard hoặc mức độ phụ thuộc của các hệ thống khác vào các gói liên quan. Điều có thể thấy lúc này là chuỗi tấn công đã tận dụng cả kho phần mềm mã nguồn mở lẫn công cụ AI để đi qua lớp kiểm tra thông thường.
Liên hệ với các vụ việc gần đây
PromptMink không phải trường hợp duy nhất nhắm vào nhà phát triển crypto qua trình quản lý gói. Tháng trước, Cryptopolitan đưa tin về GhostClaw, một mã độc nhắm vào cộng đồng OpenClaw qua một trình cài đặt npm giả. Vụ đó thu thập dữ liệu ví crypto, mật khẩu macOS Keychain và token API của nền tảng AI từ 178 nhà phát triển trước khi bị gỡ khỏi kho npm. Điểm khác của PromptMink là nó không chỉ nhắm vào con người mà còn khai thác cả tác nhân lập trình AI như một mắt xích trong đường tấn công.
Tổng kết
Vụ việc cho thấy một gói npm độc hại có thể đi vào quy trình phát triển crypto nếu trợ lý AI tự động đề xuất phụ thuộc mà không phát hiện rủi ro. ReversingLabs quy trách nhiệm cho Famous Chollima và mô tả PromptMink như một chiến dịch nhiều lớp, kết hợp mồi nhử, tài liệu giả tạo độ tin cậy và tải trọng thay đổi liên tục để né bị gỡ bỏ. Hiện chưa có dữ liệu đầy đủ để kết luận phạm vi thiệt hại cuối cùng, nhưng chuỗi sự kiện này cho thấy rủi ro đang dịch từ phần mềm sang cả lớp công cụ AI hỗ trợ viết mã.
