Ngày 20/8/2026, giới lập trình công nghệ phát hiện một vụ tấn công chuỗi cung ứng nghiêm trọng trên crates.io, kho lưu trữ thư viện chính thức của ngôn ngữ lập trình Rust. Crate arrayref, vốn có khoảng 245 triệu lượt tải trong suốt vòng đời, đến phiên bản 0.3.10 thì bất ngờ thêm một phụ thuộc lạ mang tên proc-macro1. Điều đáng sợ là mã độc này không chạy khi ứng dụng hoạt động, mà kích hoạt ngay trong lúc biên dịch, nghĩa là chỉ cần biên dịch dự án là đủ để kích hoạt nó.

Chiêu trò giả mạo tinh vi

Tài khoản của droundy, tác giả gốc của arrayref, đã bị chiếm quyền và toàn bộ kho GitHub liên quan biến mất. Kẻ tấn công tạo tài khoản dtolney, cố tình đánh lừa thị giác để giống hệt dtolnay, một lập trình viên Rust có uy tín. Crate độc hại proc-macro1 sao chép gần như nguyên vẹn mã nguồn của proc-macro2 thật, chỉ chèn thêm build script tải về một file thực thi từ máy chủ điều khiển từ xa, chạy tách biệt khỏi tiến trình biên dịch trên Unix và Windows. Thủ đoạn tinh vi hơn khi kẻ xấu chủ động rút (yank) các bản cũ, buộc Cargo cảnh báo và đẩy lập trình viên sang bản 0.3.10 chứa mã độc.

Phạm vi ảnh hưởng rộng

arrayref là phụ thuộc gián tiếp phổ biến, xuất hiện sâu trong tiny-skia, winit và nhiều thư viện giao diện dùng cho egui, iced. Với khoảng 245 triệu lượt tải trong suốt vòng đời, sự cố này là lời cảnh báo lớn cho cộng đồng khởi nghiệp và doanh nghiệp dùng Rust: an ninh chuỗi cung ứng phần mềm mã nguồn mở cần được giám sát chặt chẽ hơn bao giờ hết.