Khoảnh khắc bạn nhập khóa riêng vào bot giao dịch, chiếc ví đó đã không còn nằm trong quyền kiểm soát của bạn nữa.
Sáng 26 tháng 10 (giờ UTC+8), người dùng một bot Telegram săn lệnh trên Solana tên là Bloom đồng loạt bị mất tiền: đội ngũ xác nhận 9 người dùng và 49 ví bị ảnh hưởng. Chỉ trong vài phút, khoảng 9.400 SOL (tương đương khoảng 950.000 USD) đã được chuyển vào cùng một địa chỉ. Mỗi giao dịch đều được ký bằng chính khóa riêng của người dùng; USDC trong một số ví thì không bị động đến. Bloom cho biết nguyên nhân gốc rễ vẫn chưa được xác định, đang điều tra khả năng nhà cung cấp bên thứ ba bị xâm nhập, cam kết bồi thường toàn bộ và khuyến nghị người dùng chuyển số tiền còn lại sang ví được tạo bằng khóa riêng mới.
Góc nhìn của kỹ sư:
· Bot săn lệnh phải đặt lệnh trong tích tắc, không thể chờ bạn ký thủ công cho từng giao dịch. Vì vậy, khóa riêng bạn nhập phải được lưu trên máy chủ của bot dưới dạng có thể giải mã được;
· Từ lúc đó, bot chính là bên lưu ký tài sản của bạn. Chỉ cần có sự cố ở máy chủ, khâu vận hành hay bất kỳ dịch vụ bên thứ ba nào, khóa riêng của bạn sẽ bị lộ;
· Kẻ tấn công lấy được chính khóa riêng, chứ không phải một quyền truy cập nào đó, nên “ngắt kết nối” hay “thu hồi quyền” đều không ngăn được chúng;
· Chỉ quét SOL mà không động đến USDC giống một kịch bản tự động quét hàng loạt theo quy tắc hơn: khóa riêng nào nằm trong cơ sở dữ liệu thì ví đó có tên trong danh sách.
Năm lời khuyên cho nhà đầu tư nhỏ lẻ:
1) Cứ xem mọi địa chỉ từng nhập khóa riêng là đã bị lộ: tạo ví mới, dùng cụm từ khôi phục mới rồi chuyển tài sản sang;
2) Ví dùng với bất kỳ bot nào chỉ nên là ví phụ, chỉ để số tiền bạn định sử dụng trong ngày;
3) Cụm từ khôi phục và khóa riêng của ví chính tuyệt đối không được nhập vào bất kỳ bot, trang web hay biểu mẫu nào;
4) Nếu có thể dùng khóa phiên hoặc quyền cấp có giới hạn về số tiền và thời gian thì đừng giao cả khóa riêng;
5) “Cam kết bồi thường” không đồng nghĩa với an toàn. Hãy chờ báo cáo nguyên nhân gốc rễ rồi mới quyết định có quay lại hay không.
Với các cô gái xinh đẹp, tôi xưa nay luôn hào phóng: chìa khóa dự phòng thì có thể đưa, chứ chìa khóa phòng ngủ chính thì không bao giờ 😏
#链上安全 #钱包安全 #Solana
Sáng 26 tháng 10 (giờ UTC+8), người dùng một bot Telegram săn lệnh trên Solana tên là Bloom đồng loạt bị mất tiền: đội ngũ xác nhận 9 người dùng và 49 ví bị ảnh hưởng. Chỉ trong vài phút, khoảng 9.400 SOL (tương đương khoảng 950.000 USD) đã được chuyển vào cùng một địa chỉ. Mỗi giao dịch đều được ký bằng chính khóa riêng của người dùng; USDC trong một số ví thì không bị động đến. Bloom cho biết nguyên nhân gốc rễ vẫn chưa được xác định, đang điều tra khả năng nhà cung cấp bên thứ ba bị xâm nhập, cam kết bồi thường toàn bộ và khuyến nghị người dùng chuyển số tiền còn lại sang ví được tạo bằng khóa riêng mới.
Góc nhìn của kỹ sư:
· Bot săn lệnh phải đặt lệnh trong tích tắc, không thể chờ bạn ký thủ công cho từng giao dịch. Vì vậy, khóa riêng bạn nhập phải được lưu trên máy chủ của bot dưới dạng có thể giải mã được;
· Từ lúc đó, bot chính là bên lưu ký tài sản của bạn. Chỉ cần có sự cố ở máy chủ, khâu vận hành hay bất kỳ dịch vụ bên thứ ba nào, khóa riêng của bạn sẽ bị lộ;
· Kẻ tấn công lấy được chính khóa riêng, chứ không phải một quyền truy cập nào đó, nên “ngắt kết nối” hay “thu hồi quyền” đều không ngăn được chúng;
· Chỉ quét SOL mà không động đến USDC giống một kịch bản tự động quét hàng loạt theo quy tắc hơn: khóa riêng nào nằm trong cơ sở dữ liệu thì ví đó có tên trong danh sách.
Năm lời khuyên cho nhà đầu tư nhỏ lẻ:
1) Cứ xem mọi địa chỉ từng nhập khóa riêng là đã bị lộ: tạo ví mới, dùng cụm từ khôi phục mới rồi chuyển tài sản sang;
2) Ví dùng với bất kỳ bot nào chỉ nên là ví phụ, chỉ để số tiền bạn định sử dụng trong ngày;
3) Cụm từ khôi phục và khóa riêng của ví chính tuyệt đối không được nhập vào bất kỳ bot, trang web hay biểu mẫu nào;
4) Nếu có thể dùng khóa phiên hoặc quyền cấp có giới hạn về số tiền và thời gian thì đừng giao cả khóa riêng;
5) “Cam kết bồi thường” không đồng nghĩa với an toàn. Hãy chờ báo cáo nguyên nhân gốc rễ rồi mới quyết định có quay lại hay không.
Với các cô gái xinh đẹp, tôi xưa nay luôn hào phóng: chìa khóa dự phòng thì có thể đưa, chứ chìa khóa phòng ngủ chính thì không bao giờ 😏
#链上安全 #钱包安全 #Solana