Ví phần cứng không bị xâm nhập, nhưng người dùng vẫn mất 2,56 triệu USD — lỗ hổng nằm ở mắt xích “con người”.
NGRAVE tiết lộ rằng kẻ tấn công đã chiếm quyền kiểm soát dịch vụ thông báo của bên thứ ba mà ứng dụng đi kèm LIQUID sử dụng, rồi gửi cảnh báo bảo mật giả đến người dùng, dụ họ nhấp vào trang web giả mạo và nhập cụm từ khôi phục gồm 24 từ hoặc Perfect Key. Khoảng 70 ví trên 4 blockchain bị đánh cắp tổng cộng khoảng 2,56 triệu USD; trong đó, $BTC mất khoảng 1,77 triệu USD, $XRP mất khoảng 454.000 USD, tài sản liên quan đến $ETH khoảng 316.000 USD, còn Stellar khoảng 18.000 USD. Các tập lệnh tự động đã chuyển tài sản đi chỉ trong vài phút.
NGRAVE nhấn mạnh rằng ví phần cứng ZERO và khóa riêng tư không bị xâm nhập trực tiếp; các nạn nhân đã tự cung cấp thông tin khôi phục khi mắc bẫy lừa đảo. Việc truy cập trái phép có thể đã bắt đầu từ ngày 11 tháng 10: kẻ tấn công lấy được một khóa truy cập trước, sau đó chiếm được một khóa có quyền hạn rộng hơn và gửi thông báo giả vào ngày 17 tháng 10. Công ty phát hiện dấu hiệu bất thường khoảng 1 phút sau khi thông báo xuất hiện, nhưng chiếc ví đầu tiên đã bị rút sạch chỉ 6 phút sau đó. Hệ thống thông báo đã bị vô hiệu hóa ngay trong tối hôm đó. CEO thừa nhận công ty đã không thực hiện trách nhiệm bảo mật cơ bản nhất của một doanh nghiệp an ninh tiền mã hóa; công ty đã thay các khóa bị ảnh hưởng và bổ sung cơ chế phê duyệt hai người, giới hạn tên miền cùng quy trình tắt khẩn cấp.
Điều đáng suy ngẫm ở đây là khoảng cách thời gian: phát hiện trong 1 phút, bị rút sạch trong 6 phút — phản ứng đã được xem là nhanh, vậy mà tài sản vẫn không giữ được. Một khi cụm từ khôi phục bị lộ, mọi biện pháp khắc phục sau đó đều không thể đuổi kịp tốc độ của tập lệnh. Thiết bị phần cứng có thể bảo vệ khóa riêng tư, nhưng không thể ngăn người dùng tự tay trao chìa khóa.
Bạn thường phân biệt “cảnh báo bảo mật” chính thức từ ví như thế nào? Khi nhận được thông báo kiểu này, phản ứng đầu tiên của bạn là nhấp vào hay xác minh qua kênh chính thức trước?
#钓鱼攻击 #钱包安全 #AnToanMaHoa
NGRAVE tiết lộ rằng kẻ tấn công đã chiếm quyền kiểm soát dịch vụ thông báo của bên thứ ba mà ứng dụng đi kèm LIQUID sử dụng, rồi gửi cảnh báo bảo mật giả đến người dùng, dụ họ nhấp vào trang web giả mạo và nhập cụm từ khôi phục gồm 24 từ hoặc Perfect Key. Khoảng 70 ví trên 4 blockchain bị đánh cắp tổng cộng khoảng 2,56 triệu USD; trong đó, $BTC mất khoảng 1,77 triệu USD, $XRP mất khoảng 454.000 USD, tài sản liên quan đến $ETH khoảng 316.000 USD, còn Stellar khoảng 18.000 USD. Các tập lệnh tự động đã chuyển tài sản đi chỉ trong vài phút.
NGRAVE nhấn mạnh rằng ví phần cứng ZERO và khóa riêng tư không bị xâm nhập trực tiếp; các nạn nhân đã tự cung cấp thông tin khôi phục khi mắc bẫy lừa đảo. Việc truy cập trái phép có thể đã bắt đầu từ ngày 11 tháng 10: kẻ tấn công lấy được một khóa truy cập trước, sau đó chiếm được một khóa có quyền hạn rộng hơn và gửi thông báo giả vào ngày 17 tháng 10. Công ty phát hiện dấu hiệu bất thường khoảng 1 phút sau khi thông báo xuất hiện, nhưng chiếc ví đầu tiên đã bị rút sạch chỉ 6 phút sau đó. Hệ thống thông báo đã bị vô hiệu hóa ngay trong tối hôm đó. CEO thừa nhận công ty đã không thực hiện trách nhiệm bảo mật cơ bản nhất của một doanh nghiệp an ninh tiền mã hóa; công ty đã thay các khóa bị ảnh hưởng và bổ sung cơ chế phê duyệt hai người, giới hạn tên miền cùng quy trình tắt khẩn cấp.
Điều đáng suy ngẫm ở đây là khoảng cách thời gian: phát hiện trong 1 phút, bị rút sạch trong 6 phút — phản ứng đã được xem là nhanh, vậy mà tài sản vẫn không giữ được. Một khi cụm từ khôi phục bị lộ, mọi biện pháp khắc phục sau đó đều không thể đuổi kịp tốc độ của tập lệnh. Thiết bị phần cứng có thể bảo vệ khóa riêng tư, nhưng không thể ngăn người dùng tự tay trao chìa khóa.
Bạn thường phân biệt “cảnh báo bảo mật” chính thức từ ví như thế nào? Khi nhận được thông báo kiểu này, phản ứng đầu tiên của bạn là nhấp vào hay xác minh qua kênh chính thức trước?
#钓鱼攻击 #钱包安全 #AnToanMaHoa