Nhà sáng lập Binance cảnh báo đổi khóa API sau rò rỉ GitHub

GitHub cho biết đã phát hiện truy cập trái phép vào các kho lưu trữ nội bộ sau khi một tiện ích Visual Studio Code độc hại được cài trên thiết bị của nhân viên. Sự việc khiến Changpeng Zhao kêu gọi lập trình viên kiểm tra và xoay vòng ngay các API key trong mã nguồn.

Điểm đáng chú ý là GitHub nói chưa thấy bằng chứng cho thấy kho của khách hàng, tài khoản doanh nghiệp hay dữ liệu bên ngoài hệ thống nội bộ bị ảnh hưởng. Tuy vậy, vụ việc làm nổi bật rủi ro từ chuỗi cung ứng phần mềm và các thông tin xác thực nằm trong môi trường phát triển.

GitHub phát hiện xâm nhập từ một tiện ích VS Code độc hại

GitHub cho biết vụ truy cập trái phép bắt nguồn từ một tiện ích Visual Studio Code bị gài độc hại trên thiết bị của nhân viên. Sau khi phát hiện vào ngày 19/5, nền tảng này đã gỡ phiên bản tiện ích đó và cô lập endpoint liên quan.

Doanh nghiệp này đang điều tra các kho lưu trữ nội bộ bị truy cập trái phép. Hiện chưa rõ toàn bộ phạm vi thiệt hại, nhưng GitHub cho biết chưa tìm thấy bằng chứng cho thấy kho mã của người dùng, tài khoản doanh nghiệp hoặc dữ liệu khách hàng nằm ngoài các hệ thống nội bộ bị ảnh hưởng.

GitHub cũng nói đã xoay vòng các bí mật quan trọng trong cùng ngày và trong đêm để giảm rủi ro, ưu tiên các thông tin xác thực nhạy cảm nhất.

Tin tặc bị cho là đã lấy khoảng 3.800 kho lưu trữ

GitHub cho biết các phát hiện của họ phù hợp với tuyên bố của kẻ tấn công rằng đã truy cập khoảng 3.800 kho lưu trữ. Công ty nói cuộc điều tra vẫn đang tiếp diễn, đồng thời tiếp tục phân tích nhật ký, kiểm tra hiệu quả của quá trình xoay vòng bí mật và theo dõi mọi hoạt động phát sinh sau đó.

Sau khi hoàn tất điều tra, GitHub nói sẽ công bố một báo cáo đầy đủ hơn. Ở thời điểm hiện tại, thông tin xác nhận chủ yếu xoay quanh các kho nội bộ của GitHub, thay vì dữ liệu khách hàng bên ngoài.

Về phía nhóm bị gán trách nhiệm cho vụ việc, họ được mô tả là một tác nhân có động cơ tài chính, từng nhắm vào công cụ cho lập trình viên và hệ thống CI/CD để lấy token đặc quyền và thông tin xác thực tự động hóa.

Vì sao vụ việc khiến cộng đồng crypto phải kiểm tra API key

Lời cảnh báo của Changpeng Zhao xuất phát từ rủi ro quen thuộc của ngành crypto: nhiều hệ thống phụ thuộc vào API, token và các công cụ của lập trình viên. Khi môi trường phát triển bị xâm nhập, khóa truy cập có thể trở thành điểm rò rỉ lan sang giao dịch, lưu ký, phân tích dữ liệu hoặc tự động hóa vận hành.

Trong bối cảnh đó, việc kiểm tra và xoay vòng API key không chỉ là phản ứng với một sự cố riêng lẻ. Đây là cách giảm thiểu nguy cơ khi mã nguồn hoặc công cụ phát triển chứa thông tin xác thực có thể bị lạm dụng để truy cập vào các dịch vụ liên quan.

Những hệ thống phụ thuộc vào tích hợp bên thứ ba, CI/CD và quyền truy cập tự động thường là nơi chịu tác động trước tiên nếu chuỗi cung ứng phần mềm bị xâm nhập. Vì vậy, sự cố của GitHub đang được nhìn như một lời nhắc về mức độ nhạy cảm của hạ tầng phát triển trong ngành tiền điện tử.

Hạ tầng API của crypto nằm trong vùng rủi ro chuỗi cung ứng

Crypto hiện vận hành qua nhiều lớp API, từ dữ liệu thị trường đến kết nối blockchain và công cụ giao dịch. Khi một mắt xích như nhà cung cấp dịch vụ phát triển, kho mã hoặc tiện ích lập trình bị tấn công, ảnh hưởng có thể lan rộng dù bản thân người dùng cuối không bị lộ ngay lập tức.

Điểm đáng lo là các hệ thống hiện đại thường tích hợp nhiều dịch vụ cùng lúc, nên một bộ khóa truy cập bị lộ có thể mở ra nhiều kênh truy cập khác nhau. Điều này khiến bảo mật chuỗi cung ứng phần mềm trở thành vấn đề trực tiếp với các dự án crypto chứ không chỉ là chuyện của riêng đội ngũ kỹ thuật.

Hiện chưa có thêm chi tiết về việc các dịch vụ crypto cụ thể nào bị tác động trực tiếp từ sự cố này. Tuy vậy, diễn biến cho thấy nhóm vận hành hạ tầng nên rà soát lại quyền truy cập, vòng đời API key và các bí mật được lưu trong môi trường phát triển.

Tổng kết

GitHub đang điều tra một vụ truy cập trái phép vào kho lưu trữ nội bộ sau khi một tiện ích VS Code độc hại xâm nhập thiết bị của nhân viên, trong khi cộng đồng crypto được nhắc lại về rủi ro từ API key và chuỗi cung ứng phần mềm.