Chainstack bị tấn công: lộ dữ liệu khách hàng và mật khẩu đã băm

Chainstack, nhà cung cấp hạ tầng blockchain, vừa công bố một vụ xâm nhập cho phép đối tượng không được phép truy cập một phần hạ tầng của công ty. Sự cố được đánh giá là nằm trong chiến dịch tấn công quy mô lớn do trí tuệ nhân tạo (AI) hỗ trợ, vừa được phát hiện tuần trước.

Diễn biến vụ việc

Theo Chainstack, kẻ tấn công bên ngoài đã vào được một phần hạ tầng thông qua một thành phần của bên thứ ba. Công ty phát hiện xâm nhập, cắt các đường truy cập và đang gia cố hệ thống.

Theo mốc thời gian công bố, kẻ tấn công truy cập môi trường phát triển vào ngày 26/10/2026, sau đó leo thang quyền để xâm nhập một số phần của môi trường production. Đến ngày 31/10/2026, vụ xâm nhập được phát hiện và quyền truy cập của kẻ tấn công bị chặn cùng ngày.

Dữ liệu bị ảnh hưởng

Kẻ tấn công được cho là đã truy cập cơ sở dữ liệu chứa thông tin tài khoản khách hàng, gồm tên tổ chức, tên chủ tài khoản, địa chỉ email của các thành viên tổ chức trên Chainstack và mật khẩu đã băm.

Ngoài ra, đối tượng còn có quyền truy cập các hệ thống lưu thông tin xác thực node. Chainstack cho biết không có bằng chứng các dữ liệu này bị đọc, nhưng vẫn xử lý như trường hợp đã bị lộ và đề nghị khách hàng luân chuyển thông tin xác thực.

Khuyến nghị cho khách hàng

• Tạo lại khóa API của nền tảng
• Đổi mật khẩu, kể cả ở các dịch vụ khác dùng lại cùng mật khẩu
• Luân chuyển thông tin xác thực node
• Cảnh giác với các nỗ lực lừa đảo qua email

Chainstack không nêu chi tiết về vụ tấn công, nhưng giới phân tích nhận định sự cố có điểm trùng khớp với chiến dịch của một nhóm được cho là liên quan đến Trung Quốc, nhắm vào các doanh nghiệp giá trị cao bằng framework ARTEX.

WorkOS và các nạn nhân khác của ARTEX

Nền tảng API WorkOS cũng công bố sự cố bảo mật liên quan đến cùng framework tác nhân AI tự động dùng cho hoạt động tấn công. Sự cố được phát hiện ngày 30/10/2026, giới hạn ở các hệ thống GTM, không ảnh hưởng hệ thống production hay dữ liệu nền tảng của khách hàng.

Dữ liệu bị truy cập gồm thông tin liên hệ doanh nghiệp (tên, email, số điện thoại, chức danh, công ty trong hệ thống CRM), thông tin tài khoản và quan hệ khách hàng, nội dung trao đổi với khách hàng (tóm tắt và trích đoạn cuộc gọi bán hàng, trao đổi hỗ trợ, hội thoại Slack) và siêu dữ liệu vận hành về việc sử dụng sản phẩm WorkOS.

WorkOS nhận định xu hướng dùng tác nhân AI để xây dựng chiến lược tấn công phù hợp và tự động hóa các giai đoạn xâm nhập đang gia tăng. Điều này làm tăng tốc độ và quy mô của các cuộc tấn công khai thác điểm yếu như ứng dụng bị lộ và thông tin xác thực bị đánh cắp, đồng thời đòi hỏi khắc phục và giám sát kịp thời, có khả năng liên kết hoạt động đáng ngờ giữa các hệ thống.

Trước đó, hãng phân tích blockchain Chainalysis cũng phát hiện một đối tượng bên ngoài dùng kỹ thuật tác nhân tấn công để truy cập hệ thống và công cụ nội bộ. Tính đến ngày 2/11/2026, công ty đã chủ động đưa các sản phẩm Reactor và Data Solutions ngừng hoạt động để theo dõi hoạt động bất thường.

Một nạn nhân khác là Viện Công bố Lỗ hổng Hà Lan (DIVD). Vụ xâm nhập ngày 21/9/2026 liên quan việc khai thác hai lỗ hổng zero-day trong hệ thống ticketing mã nguồn mở Zammad (CVE-2026-102489 và CVE-2026-102490), cho phép leo thang quyền, chạy mã từ xa và đánh cắp dữ liệu.

Nguồn: The Hacker News