Trước đây, bạn chỉ cần nhớ một câu: “Chưa mất khóa riêng thì tiền vẫn an toàn.”
Ngày 24 tháng 10, Electrum đã phá vỡ niềm tin đó: người dùng có khóa riêng được cất trong hai chiếc Trezor vẫn suýt bị mất tiền
Hãy xem ba vụ:
Hai vụ tấn công ngày 11 và 18 tháng 10; người thứ hai mất tiền ngay khi “tăng tốc giao dịch”
Địa chỉ của kẻ tấn công được ngụy trang sao cho chỉ khác bốn chữ số cuối, kèm phí giao dịch bằng 0 để dụ bạn bấm tăng tốc
Vụ tấn công tương tự năm 2018 đã cuỗm đi 771 đồng $BTC
Khoan vội nói “ví phần cứng không sao” — nạn nhân dùng cấu hình đa chữ ký với hai chiếc Trezor
Nguyên lý rất đơn giản: ví nhẹ không tải blockchain về, mà hoàn toàn dựa vào máy chủ lạ để xác thực giao dịch — máy chủ này nuốt giao dịch thanh toán thật của bạn, nhét vào giao dịch giả; bạn bấm “tăng tốc” là ký giao dịch cho kẻ trộm
Nói dễ hiểu — khóa riêng bảo vệ quyền ký giao dịch, chứ không bảo vệ đôi mắt bạn. Sự “an toàn” của ví nhẹ là đi mượn, máy chủ có thể lấy lại bất cứ lúc nào
Chuyện này liên quan gì đến vài đồng bạc của bạn? Hãy làm theo bốn bước sau
Chỉ nâng cấp từ electrum.org lên phiên bản 4.8.3, đồng thời xác minh chữ ký GPG — ngay sau khi thông báo được đăng, các bản cập nhật giả mạo để lừa đảo cũng lập tức xuất hiện
Trước khi ký, hãy xác minh toàn bộ địa chỉ, đừng chỉ nhìn bốn chữ số cuối — vụ tấn công này nhắm riêng vào những người “chỉ nhìn đuôi”
Với giao dịch đang chờ xác nhận bị mắc kẹt, hãy tra txid trên trình khám phá blockchain trước, rồi mới quyết định có bấm “tăng tốc” hay không
Giải pháp dài hạn: tự vận hành nút mạng hoặc cất giữ số tiền lớn trong ví phần cứng ở chế độ ngoại tuyến
Cảnh báo rủi ro:
Tổng số tiền bị đánh cắp và số lượng máy chủ độc hại đến nay vẫn chưa được công bố.
Chỉ có một dấu hiệu khiến nhận định này thay đổi: nếu có thêm nạn nhân được công bố, vấn đề niềm tin vào ví nhẹ sẽ leo thang thành rủi ro cấp ngành; ví phần cứng + nút mạng tự vận hành sẽ từ “khuyến nghị” thành “thiết yếu”
Mốc xác minh: thông tin cập nhật từ phía chính thức về quy mô thiệt hại
Thứ hắn đánh cắp không phải khóa riêng của bạn — mà là thói quen “liếc qua một cái là yên tâm”
Danh sách việc cần làm đã có: nâng cấp lên 4.8.3, làm ngay hôm nay
#Electrum钱包漏洞致资金被盗 #Electrum修复4.8.3前版本高危漏洞
Ngày 24 tháng 10, Electrum đã phá vỡ niềm tin đó: người dùng có khóa riêng được cất trong hai chiếc Trezor vẫn suýt bị mất tiền
Hãy xem ba vụ:
Hai vụ tấn công ngày 11 và 18 tháng 10; người thứ hai mất tiền ngay khi “tăng tốc giao dịch”
Địa chỉ của kẻ tấn công được ngụy trang sao cho chỉ khác bốn chữ số cuối, kèm phí giao dịch bằng 0 để dụ bạn bấm tăng tốc
Vụ tấn công tương tự năm 2018 đã cuỗm đi 771 đồng $BTC
Khoan vội nói “ví phần cứng không sao” — nạn nhân dùng cấu hình đa chữ ký với hai chiếc Trezor
Nguyên lý rất đơn giản: ví nhẹ không tải blockchain về, mà hoàn toàn dựa vào máy chủ lạ để xác thực giao dịch — máy chủ này nuốt giao dịch thanh toán thật của bạn, nhét vào giao dịch giả; bạn bấm “tăng tốc” là ký giao dịch cho kẻ trộm
Nói dễ hiểu — khóa riêng bảo vệ quyền ký giao dịch, chứ không bảo vệ đôi mắt bạn. Sự “an toàn” của ví nhẹ là đi mượn, máy chủ có thể lấy lại bất cứ lúc nào
Chuyện này liên quan gì đến vài đồng bạc của bạn? Hãy làm theo bốn bước sau
Chỉ nâng cấp từ electrum.org lên phiên bản 4.8.3, đồng thời xác minh chữ ký GPG — ngay sau khi thông báo được đăng, các bản cập nhật giả mạo để lừa đảo cũng lập tức xuất hiện
Trước khi ký, hãy xác minh toàn bộ địa chỉ, đừng chỉ nhìn bốn chữ số cuối — vụ tấn công này nhắm riêng vào những người “chỉ nhìn đuôi”
Với giao dịch đang chờ xác nhận bị mắc kẹt, hãy tra txid trên trình khám phá blockchain trước, rồi mới quyết định có bấm “tăng tốc” hay không
Giải pháp dài hạn: tự vận hành nút mạng hoặc cất giữ số tiền lớn trong ví phần cứng ở chế độ ngoại tuyến
Cảnh báo rủi ro:
Tổng số tiền bị đánh cắp và số lượng máy chủ độc hại đến nay vẫn chưa được công bố.
Chỉ có một dấu hiệu khiến nhận định này thay đổi: nếu có thêm nạn nhân được công bố, vấn đề niềm tin vào ví nhẹ sẽ leo thang thành rủi ro cấp ngành; ví phần cứng + nút mạng tự vận hành sẽ từ “khuyến nghị” thành “thiết yếu”
Mốc xác minh: thông tin cập nhật từ phía chính thức về quy mô thiệt hại
Thứ hắn đánh cắp không phải khóa riêng của bạn — mà là thói quen “liếc qua một cái là yên tâm”
Danh sách việc cần làm đã có: nâng cấp lên 4.8.3, làm ngay hôm nay
#Electrum钱包漏洞致资金被盗 #Electrum修复4.8.3前版本高危漏洞
