Một bot giao dịch Polymarket giả mạo trên GitHub đã bị dùng để phát tán malware đánh cắp khóa ví, mật khẩu trình duyệt và nhiều thông tin đăng nhập khác.
Chiến dịch này liên quan đến 30 gói npm độc hại trên nhiều tài khoản và đã khiến ít nhất 53 nhà phát triển cài đặt nhầm trước khi bị phát hiện. Mối nguy lớn nằm ở việc tệp cài đặt có thể âm thầm chạy mã độc ngay trong lúc thiết lập công cụ.
- Bot giả mạo mang tên “polymarket-arbitrage-bot” được giới thiệu như công cụ tạo lợi nhuận nhưng thực chất là bẫy cài malware.
- Mã độc ẩn trong một dependency giả và có thể đánh cắp ví crypto, mật khẩu trình duyệt, SSH key, AWS credentials và token API.
- Bất kỳ máy nào đã chạy “npm install” với bot này nên được xem là đã bị xâm nhập và cần thay toàn bộ thông tin truy cập liên quan.
Bot giả trên GitHub hoạt động như thế nào
Bot giao dịch Polymarket này là một công cụ giả mạo được thiết kế để lừa người dùng cài đặt malware. Mã độc nằm trong dependency “clob-client-math” và có thể chạy ngay trong quá trình “npm install”.
Nhóm tấn công còn cố làm cho dự án trông đáng tin bằng cách gắn mô tả lợi nhuận cao, trong khi kho mã có 36 stars và 53 forks trước khi bị bóc tách. Theo phát hiện được công bố, 30 gói npm độc hại đã được phát tán qua nhiều tài khoản khác nhau.
Dữ liệu nào có thể bị đánh cắp
Mã độc này có thể lấy nhiều loại dữ liệu nhạy cảm từ máy nạn nhân. Phạm vi bị ảnh hưởng không chỉ dừng ở ví crypto mà còn mở rộng sang tài khoản và khóa truy cập của nhà phát triển.
Các dữ liệu được nhắc đến gồm ví MetaMask, Phantom, Coinbase Wallet, TrustWallet và các ví khác; mật khẩu và cookie từ Chrome, Firefox, Brave; SSH key; thông tin đăng nhập AWS; token npm và PyPI; dữ liệu từ Bitwarden, KeePass, 1Password; cùng private key và API token.
Nếu đã cài bot này cần làm gì
Bất kỳ máy nào đã chạy “npm install” với bot giả mạo này nên được coi là có nguy cơ bị xâm nhập. Cách xử lý ưu tiên là thay ngay khóa ví crypto, mật khẩu trình duyệt, AWS credentials, SSH key và các API token liên quan.
Người dùng cũng nên rà soát file lock và package.json để tìm các dependency lạ, đặc biệt là gói có mặt trong khai báo nhưng không được dùng trong mã nguồn. Trong vụ việc này, chỉ ba gói là hợp lệ còn “clob-client-math” là gói che giấu malware.
Rủi ro rộng hơn với nhà phát triển crypto
Vụ việc này cho thấy chuỗi tấn công nhắm vào nhà phát triển crypto vẫn tiếp tục mở rộng qua các gói mã nguồn mở. Các tài khoản mới lập, không có lịch sử xuất bản, là dấu hiệu cần kiểm tra kỹ trước khi tin dùng bất kỳ package nào.
Dữ liệu hiện có cũng cho thấy Polymarket và nhóm người dùng liên quan đã nhiều lần trở thành mục tiêu của các chiến dịch lừa đảo và xâm nhập khác trong năm nay. Với các công cụ giao dịch tự động, rủi ro không chỉ nằm ở mã nguồn mà còn ở toàn bộ quy trình cài đặt và quản lý khóa truy cập.
Tổng kết
Bot giao dịch Polymarket giả mạo này là một ví dụ điển hình về cách malware có thể ẩn trong các công cụ trông có vẻ hợp pháp. Với bất kỳ dự án npm hoặc GitHub nào liên quan đến crypto, việc kiểm tra nguồn gốc package và lịch sử phát hành vẫn là bước phòng vệ quan trọng nhất.
