Hackers lén lút mã đánh cắp ví tiền điện tử vào một công cụ AI phổ biến chạy mỗi lần

LiteLLM phát hành bị đầu độc đã biến một cài đặt Python thông thường thành một kẻ đánh cắp bí mật nhận thức về crypto, tìm kiếm ví, tài liệu của validator Solana và thông tin đăng nhập đám mây mỗi lần Python được khởi động.

Vào ngày 24 tháng 3, trong khoảng từ 10:39 UTC đến 16:00 UTC, một kẻ tấn công đã giành quyền truy cập vào tài khoản của người bảo trì (maintainer) đã đăng lên PyPI hai phiên bản LiteLLM độc hại: 1.82.7 và 1.82.8.

LiteLLM tự tiếp thị mình như một giao diện thống nhất cho hơn 100 nhà cung cấp mô hình ngôn ngữ lớn, một vị trí theo thiết kế khiến nó nằm trong các môi trường phát triển giàu thông tin xác thực. Chỉ số PyPI Stats ghi nhận 96.083.740 lượt tải trong riêng tháng trước.

Hai bản build mang các mức độ rủi ro khác nhau. Phiên bản 1.82.7 yêu cầu phải import trực tiếp litellm.proxy để kích hoạt payload của nó, trong khi phiên bản 1.82.8 cài một tệp .pth (litellm_init.pth) vào cài đặt Python.

Tài liệu chính thức của Python xác nhận rằng các dòng thực thi trong các tệp .pth sẽ chạy ở mọi lần khởi động Python, vì vậy 1.82.8 thực thi mà không cần import gì cả. Bất kỳ máy nào đã cài nó đều chạy mã bị xâm phạm ngay khi Python được khởi động lần tiếp theo.

FutureSearch ước tính 46.996 lượt tải trong 46 phút, trong đó 1.82.8 chiếm 32.464 lượt.

Ngoài ra, nó đếm được 2.337 gói PyPI phụ thuộc vào LiteLLM, với 88% cho phép phạm vi phiên bản bị xâm phạm tại thời điểm cuộc tấn công.

Trang sự cố (incident) của LiteLLM cảnh báo rằng bất kỳ ai có cây phụ thuộc (dependency tree) kéo LiteLLM vào thông qua một ràng buộc bắc cầu (transitive constraint) chưa được cố định (unpinned) trong giai đoạn đó nên coi môi trường của mình là có khả năng bị lộ.

Nhóm DSPy xác nhận họ có một ràng buộc LiteLLM là “superior or equal to 1.64.0” và cảnh báo rằng các cài đặt mới trong giai đoạn này có thể đã phân giải về các bản build bị đầu độc.

Được xây dựng để săn crypto

Phân tích ngược (reverse engineering) payload của SafeDep làm lộ rõ mục tiêu nhắm vào crypto.

Phần mềm độc hại tìm các tệp cấu hình ví Bitcoin và các tệp wallet*.dat, các thư mục keystore của Ethereum, và các tệp cấu hình Solana dưới ~/.config/solana.

SafeDep nói rằng trình thu thập (collector) đã đối xử đặc biệt với Solana, thể hiện việc tìm kiếm có mục tiêu cho các cặp khóa validator, khóa vote account và các thư mục triển khai (Anchor deploy directories).

Tài liệu phát triển của Solana đặt đường dẫn path keypair CLI mặc định ở ~/.config/solana/id.json. Tài liệu về validator của Anza mô tả ba tệp authority cốt lõi cho hoạt động của validator và nêu rằng việc đánh cắp authorized withdrawer sẽ cung cấp cho kẻ tấn công quyền kiểm soát hoàn toàn đối với hoạt động validator và phần thưởng.

Anza cũng cảnh báo rằng khóa rút tiền (withdrawal key) không bao giờ nên nằm ngay trên máy validator.

SafeDep cho biết payload đã thu hoạch các khóa SSH, biến môi trường, thông tin đăng nhập đám mây và các secret của Kubernetes trên nhiều namespace. Khi nó tìm thấy các thông tin đăng nhập AWS hợp lệ, nó đã truy vấn AWS Secrets Manager và SSM Parameter Store để lấy thêm thông tin.

Nó cũng tạo các privileged pod có tên node-setup-* trong kube-system và cài duy trì (persistence) thông qua sysmon.py và một systemd unit.

Đối với các đội crypto, rủi ro được cộng dồn chạy theo một hướng cụ thể. Một infostealer thu thập tệp ví cùng với passphrase, secret triển khai (deploy secret), token CI hoặc credential của cụm (cluster credential) từ cùng một máy có thể biến một sự cố lộ thông tin đăng nhập thành việc rút cạn ví (wallet drain), triển khai một hợp đồng độc hại, hoặc đánh cắp quyền của signer.

Related Reading

Curve Finance TVL giảm xuống dưới 1B USD sau khi bị khai thác lỗ hổng Vyper

Token CRV của Curve trở nên cực kỳ biến động sau cuộc tấn công, làm dấy lên nỗi lo về hiện tượng lây lan (contagion).

Jul 31, 2023 · Oluwapelumi Adejumo

Phần mềm độc hại lắp ghép chính xác tổ hợp đó của các hiện vật (artifacts).

Cuộc tấn công này là một phần của chiến dịch rộng hơn, vì ghi chú sự cố của LiteLLM liên kết việc bị xâm phạm với sự cố Trivy trước đó, và cả Datadog lẫn Snyk đều mô tả LiteLLM như một giai đoạn sau trong chuỗi TeamPCP kéo dài nhiều ngày, đã đi qua nhiều hệ sinh thái phát triển trước khi đến PyPI.

Logic nhắm mục tiêu chạy nhất quán trong suốt chiến dịch: một bộ công cụ hạ tầng giàu bí mật (secret-rich infrastructure tooling) cung cấp quyền truy cập nhanh hơn vào các tài sản gần ví (wallet-adjacent material).

Các kịch bản có thể xảy ra cho sự việc này

Trường hợp thuận lợi (bull case) dựa trên tốc độ phát hiện và, cho đến nay, là việc không có thông tin rò rỉ/được xác nhận công khai về trộm cắp crypto.

PyPI đã đưa cả hai phiên bản vào cách ly (quarantine) vào khoảng 11:25 UTC vào ngày 24 tháng 3. LiteLLM gỡ các bản build độc hại, xoay vòng (rotated) thông tin đăng nhập của người bảo trì, và liên hệ với Mandiant. Hiện tại, PyPI hiển thị 1.82.6 là bản phát hành mới nhất còn nhìn thấy.

Nếu các bên phòng thủ xoay vòng bí mật, kiểm tra litellm_init.pth và coi các máy đã bị lộ là “đã cháy” (burned) trước khi kẻ tấn công kịp chuyển các hiện vật bị rò rỉ (exfiltrated artifacts) thành khai thác đang hoạt động (active exploitation), thì thiệt hại sẽ được giới hạn ở mức độ lộ thông tin đăng nhập.

Sự cố cũng thúc đẩy nhanh việc áp dụng các thực hành vốn đã bắt đầu được triển khai rộng rãi. Trusted Publishing của PyPI thay thế các token API thủ công tồn tại lâu dài bằng danh tính dựa trên OIDC tồn tại ngắn hạn; khoảng 45.000 dự án đã áp dụng nó vào tháng 11 năm 2025.

CryptoSlate Daily Brief

Tín hiệu hằng ngày, không nhiễu.

Tin tức nổi bật và bối cảnh tác động đến thị trường được gửi đến mỗi sáng trong một bản đọc gọn.

5-minute digest 100k+ readers

Email address

Get the brief

Free. No spam. Unsubscribe any time.

Whoops, looks like there was a problem. Please try again.

You’re subscribed. Welcome aboard.

Sự cố của LiteLLM liên quan đến việc lạm dụng thông tin đăng nhập phát hành (release credentials), khiến việc bác bỏ khả năng chuyển đổi khó hơn hơn nhiều.

Đối với các đội crypto, sự cố tạo ra sự cấp thiết cho việc tách vai trò chặt chẽ hơn: các authorized withdrawer của validator được giữ hoàn toàn offline, tách biệt người ký triển khai (deployment signers), thông tin đăng nhập đám mây tồn tại ngắn hạn, và khóa chặt đồ thị phụ thuộc (dependency graphs).

Các hướng dẫn về việc ghim nhanh (rapid pinning) của nhóm DSPy và hướng dẫn sau sự cố của chính LiteLLM đều hướng đến việc coi “hermetic builds” là tiêu chuẩn khắc phục (remediation standard).

Một sơ đồ dòng thời gian (timeline) vẽ cửa sổ bị xâm phạm của LiteLLM từ 10:39 UTC đến 16:00 UTC vào ngày 24 tháng 3, ghi chú 46.996 lượt tải trực tiếp (direct downloads) trong 46 phút và phạm vi bùng nổ tiếp theo (downstream blast radius) gồm 2.337 gói PyPI phụ thuộc, trong đó 88% cho phép phạm vi phiên bản bị xâm phạm.

Trường hợp xấu (bear case) phụ thuộc vào độ trễ. SafeDep đã ghi nhận một payload đã exfiltrate bí mật (exfiltrated secrets), lan rộng trong các cụm Kubernetes, và cài duy trì (persistence) trước khi được phát hiện.

Một nhà vận hành (operator) đã cài một dependency bị đầu độc bên trong một build runner hoặc môi trường được kết nối với cluster vào ngày 24 tháng 3 có thể không phát hiện đầy đủ phạm vi lộ lọt đó trong nhiều tuần. Các khóa API bị exfiltrate, credential để triển khai (deploy credentials) và tệp ví không tự hết hạn khi phát hiện. Kẻ tấn công có thể giữ chúng và hành động sau đó.

Sonatype đặt khả năng sẵn có độc hại ở “ít nhất hai giờ”; hướng dẫn riêng của LiteLLM bao gồm các cài đặt cho đến 16:00 UTC; và mốc thời gian quarantine của FutureSearch là 11:25 UTC.

Các đội không thể chỉ dựa vào lọc theo mốc thời gian (timestamp filtering) để xác định mức độ phơi nhiễm của mình, vì các con số đó không tạo ra một trạng thái “tất cả đều ổn” (all-clear) rõ ràng.

Tình huống nguy hiểm nhất trong nhóm này tập trung vào các môi trường vận hành dùng chung. Một sàn giao dịch crypto, một nhà vận hành validator, một nhóm bridge hoặc một nhà cung cấp RPC đã cài một dependency bắc cầu (transitive dependency) bị đầu độc bên trong build runner sẽ có thể đã làm lộ toàn bộ control plane.

Các đợt đổ secret của Kubernetes trên nhiều namespace và việc tạo pod đặc quyền (privileged pod) trong namespace kube-system là các công cụ để giành quyền truy cập control plane, được thiết kế cho di chuyển ngang (lateral movement).

Nếu di chuyển ngang đó chạm tới một môi trường nơi dữ liệu validator “nóng” hoặc “hơi nóng” (hot hoặc semi-hot validator material) hiện diện trên các máy có thể truy cập, hậu quả có thể dao động từ trộm cắp thông tin đăng nhập cá nhân đến việc làm lộ quyền authority của validator.

Sơ đồ luồng 5 giai đoạn theo dõi đường đi của cuộc tấn công từ một cài đặt bắc cầu (transitive install) LiteLLM bị đầu độc thông qua việc thực thi tự động khi Python khởi động, thu hoạch bí mật (secret harvesting), và mở rộng control-plane của Kubernetes cho đến các kết quả crypto tiềm năng.

Việc đưa vào cách ly của PyPI và phản hồi sự cố của LiteLLM đã đóng cửa sổ phân phối (active distribution window) đang diễn ra.

Các đội đã cài hoặc nâng cấp LiteLLM vào ngày 24 tháng 3, hoặc đã chạy các build với các dependency bắc cầu không được ghim (unpinned transitive dependencies) phân giải về 1.82.7 hoặc 1.82.8, nên coi môi trường của mình là đã bị xâm phạm hoàn toàn.

Một số hành động bao gồm: xoay vòng tất cả bí mật có thể truy cập từ các máy đã bị phơi nhiễm, kiểm toán (auditing) để tìm litellm_init.pth, thu hồi và cấp lại (reissuing) các thông tin đăng nhập đám mây, và xác minh rằng không có bất kỳ dữ liệu authority của validator nào có thể truy cập được từ các máy đó.

Sự cố LiteLLM ghi nhận một lộ trình của kẻ tấn công, người biết chính xác những tệp off-chain nào cần tìm, có cơ chế phân phối với hàng chục triệu lượt tải mỗi tháng, và đã cài cơ chế duy trì (persistence) trước khi bất kỳ ai gỡ các bản build khỏi kênh phân phối.

Cơ chế off-chain dùng để di chuyển và bảo vệ crypto nằm trực tiếp trong đường dẫn tìm kiếm (search path) của payload.

Được nhắc đến trong bài viết này

Bitcoin Ethereum Solana

Được đăng trong

Featured Hacks Crime Solana Web3

Tác giả Xem hồ sơ →

Gino Matos

Phóng viên • CryptoSlate

Gino Matos là cựu sinh viên luật (law school graduate) và là một nhà báo kỳ cựu với 6 năm kinh nghiệm trong ngành crypto. Chuyên môn của anh chủ yếu tập trung vào hệ sinh thái blockchain tại Brazil và các phát triển trong tài chính phi tập trung (DeFi).

@pelicamatos LinkedIn

Biên tập viên Xem hồ sơ →

Liam ‘Akiba’ Wright

Tổng Biên tập • CryptoSlate

Cũng được biết đến với tên “Akiba”, Liam Wright là Tổng Biên tập tại CryptoSlate và là người dẫn chương trình SlateCast. Anh tin rằng công nghệ phi tập trung có tiềm năng tạo ra thay đổi tích cực rộng khắp.

@akibablade LinkedIn

Bối cảnh

Tin liên quan

Chuyển danh mục để đi sâu hơn hoặc có thêm bối cảnh.

Solana Latest News      Hacks Top Category      Press Releases Newswire  

Quy định (Regulation)

SEC giảm mạnh áp lực KYC đối với Bitcoin, XRP và Solana với các quy tắc crypto được cải biên

SEC xác định lại bối cảnh crypto với phân loại (taxonomy) mới, đặt ra ranh giới và mở không gian cho đổi mới về quyền riêng tư.

2 weeks ago

Tokenization

Wall Street đang xây dựng trên Solana dù có tiếng tăm memecoin

Cấu trúc mint và redeem 24/5 của Ondo giữ các chứng khoán với broker-dealers, trong khi Solana xử lý lớp chuyển giao (transfer layer).

2 weeks ago

Tether vẫn nắm nhiều tiền mặt hơn, nhưng USDC của Circle giờ đang chuyển đi nhiều hơn tiền của crypto

Stablecoins · 3 weeks ago

Sổ cái XRP vừa lật Solana về giá trị tokenization RWA và số lượng holder cho thấy lý do

Tokenization · 2 months ago

Lỗ hổng Solana đáng sợ vừa cho thấy mạng “luôn bật” (always-on) dễ bị tin tặc làm chậm đến mức nào

Analysis · 2 months ago

Cuộc tấn công công khai của Solana vào Starknet lộ ra cách hàng chục tỷ USD “mercenary” đang bơm nhân tạo định giá mạng ngay bây giờ

DeFi · 3 months ago

Hacks

Circle bị đặt dưới lửa như $230M USDC bị đánh cắp chảy ra, được mở khóa vài ngày sau khi đóng băng các tài khoản hợp pháp

Khai thác Drift cho thấy một mâu thuẫn ngày càng tăng trong cách các nhà phát hành stablecoin thực thi quyền kiểm soát trong khủng hoảng.

2 hours ago

Analysis

Vì sao các vụ hack crypto không kết thúc và vẫn tiếp diễn ngay cả khi tiền đã biến mất

Một lỗ hổng crypto có thể rút sạch ví trong vài phút, nhưng thiệt hại đầy đủ thường diễn ra trong nhiều tháng. Token tiếp tục giảm, kho bạc co lại, đợt đóng băng tuyển dụng được thiết lập, và các dự án sống sót sau vụ trộm vẫn có thể mất tương lai ở phần hậu.

2 weeks ago

Tầm nhìn stablecoin 2 nghìn tỷ USD của Treasury gặp kiểm tra thực tế khi USD1 mất neo

Stablecoins · 1 month ago

Bị đe dọa an ninh cho dự trữ Bitcoin 28B USD của chính phủ Mỹ sau khi vụ trộm cuối tuần lộ ra lỗ hổng

Hacks · 2 months ago

Các bot “Robin Hood” kỹ thuật số đánh cắp từ tin tặc nhưng không phải lúc nào cũng trả lại cho người nghèo

Hacks · 2 months ago

Hàng trăm ví MetaMask bị rút cạn: Bạn cần kiểm tra gì trước khi “cập nhật”?

Wallets · 3 months ago

ADI Chain công bố ADI Predictstreet làm Đối tác Thị trường Dự đoán FIFA World Cup 2026

Được hậu thuẫn bởi ADI Chain, ADI Predictstreet sẽ ra mắt trên sân khấu bóng đá lớn nhất với tư cách là đối tác thị trường dự đoán chính thức của FIFA World Cup 2026.

6 hours ago

Sàn BTCC được chỉ định là Đối tác Khu vực Chính thức của đội tuyển quốc gia Argentina

BTCC đã hợp tác với Liên đoàn bóng đá Argentina thông qua FIFA World Cup 2026, liên kết sự hiện diện crypto lâu dài của sàn với một trong những đội tuyển quốc gia thành công nhất trong lịch sử bóng đá.

1 day ago

Encrypt Is Coming to Solana to Power Encrypted Capital Markets

PR · 3 days ago

Ika Is Coming to Solana to Power Bridgeless Capital Markets

PR · 3 days ago

TxFlow L1 Mainnet Launch Marks a New Phase for Multi-Application On-Chain Finance

PR · 3 days ago

BYDFi Marks 6th Anniversary with Month-Long Celebration, Built for Reliability

PR · 3 days ago

Disclaimer

Quan điểm của các tác giả chỉ thuộc về riêng họ và không phản ánh quan điểm của CryptoSlate. Không có bất kỳ thông tin nào bạn đọc trên CryptoSlate được coi là lời khuyên đầu tư, và CryptoSlate cũng không chứng thực bất kỳ dự án nào có thể được nhắc đến hoặc liên kết trong bài viết này. Việc mua và giao dịch các loại tiền mã hóa nên được xem là hoạt động rủi ro cao. Vui lòng tự thực hiện thẩm định (due diligence) trước khi thực hiện bất kỳ hành động nào liên quan đến nội dung trong bài viết này. Cuối cùng, CryptoSlate không chịu trách nhiệm nếu bạn bị thua lỗ khi giao dịch tiền mã hóa. Để biết thêm thông tin, xem các tuyên bố miễn trừ trách nhiệm (disclaimers) của công ty chúng tôi.