Một tiện ích ví đã âm thầm gửi khóa riêng ra ngoài từ tháng 2 năm 2025, mãi gần 20 tháng sau mới bị phát hiện.
Sự cố xảy ra với tiện ích mở rộng trình duyệt Fearless Wallet, một ví bên thứ ba dành cho hệ sinh thái $DOT và Kusama, do một nhóm độc lập duy trì. Trang trên Chrome Web Store ghi nhận 6.000 người dùng.
Tối qua, sau 10 giờ, phía Polkadot đã đưa ra cảnh báo bảo mật. Đội ngũ kỹ thuật điều tra và phát hiện một thay đổi mã vào ngày 19 tháng 2 năm 2025, được gắn mác “hệ sinh thái TON”, đã cài mã độc vào. Sau đó, trong các phiên bản 3.0.1, 3.0.3, 3.0.4 và 3.0.5, mỗi lần người dùng nhập mật khẩu để mở khóa ví, khóa riêng đều có thể bị gửi đến máy chủ của kẻ tấn công. Đoạn mã này lúc hoạt động, lúc không, kéo dài cho đến ngày 10 tháng 10 năm nay.
Hiện có 8 nạn nhân được báo cáo, tổng cộng 17,286 DOT bị chuyển đi. Tính theo mức giá khoảng 1,11 USD hiện nay, số tiền này tương đương khoảng 19.000 USD. Không phải số tiền lớn. Nhưng mã độc đã âm thầm nằm đó suốt một năm rưỡi; không ai biết có bao nhiêu người đã mở khóa ví trong thời gian ấy. Bản ứng dụng di động được kiểm tra và không có đoạn mã này, nhưng nếu cùng một cụm từ khôi phục cũng từng được nhập vào tiện ích mở rộng thì vẫn bị xem là đã lộ.
Cách xử lý được khuyến nghị rất rõ ràng: dùng một ví khác để tạo khóa mới rồi chuyển toàn bộ tài sản sang đó. Chỉ đổi mật khẩu hoặc chỉ chuyển sang phần mềm ví khác đều vô ích, vì khóa riêng đã bị lộ.
Điều khiến người ta lạnh sống lưng nhất chính là chuyện này. Những người đó không nhấp vào liên kết lừa đảo, cũng không tùy tiện ký cấp quyền. Họ chỉ mở tiện ích như bình thường và nhập mật khẩu.
Sự cố xảy ra với tiện ích mở rộng trình duyệt Fearless Wallet, một ví bên thứ ba dành cho hệ sinh thái $DOT và Kusama, do một nhóm độc lập duy trì. Trang trên Chrome Web Store ghi nhận 6.000 người dùng.
Tối qua, sau 10 giờ, phía Polkadot đã đưa ra cảnh báo bảo mật. Đội ngũ kỹ thuật điều tra và phát hiện một thay đổi mã vào ngày 19 tháng 2 năm 2025, được gắn mác “hệ sinh thái TON”, đã cài mã độc vào. Sau đó, trong các phiên bản 3.0.1, 3.0.3, 3.0.4 và 3.0.5, mỗi lần người dùng nhập mật khẩu để mở khóa ví, khóa riêng đều có thể bị gửi đến máy chủ của kẻ tấn công. Đoạn mã này lúc hoạt động, lúc không, kéo dài cho đến ngày 10 tháng 10 năm nay.
Hiện có 8 nạn nhân được báo cáo, tổng cộng 17,286 DOT bị chuyển đi. Tính theo mức giá khoảng 1,11 USD hiện nay, số tiền này tương đương khoảng 19.000 USD. Không phải số tiền lớn. Nhưng mã độc đã âm thầm nằm đó suốt một năm rưỡi; không ai biết có bao nhiêu người đã mở khóa ví trong thời gian ấy. Bản ứng dụng di động được kiểm tra và không có đoạn mã này, nhưng nếu cùng một cụm từ khôi phục cũng từng được nhập vào tiện ích mở rộng thì vẫn bị xem là đã lộ.
Cách xử lý được khuyến nghị rất rõ ràng: dùng một ví khác để tạo khóa mới rồi chuyển toàn bộ tài sản sang đó. Chỉ đổi mật khẩu hoặc chỉ chuyển sang phần mềm ví khác đều vô ích, vì khóa riêng đã bị lộ.
Điều khiến người ta lạnh sống lưng nhất chính là chuyện này. Những người đó không nhấp vào liên kết lừa đảo, cũng không tùy tiện ký cấp quyền. Họ chỉ mở tiện ích như bình thường và nhập mật khẩu.