Trong sự cố bảo mật lần này của Binance, tôi nghĩ có một chi tiết đáng suy ngẫm hơn cả việc tài sản trị giá hàng chục tỷ USD bị chuyển đi.
Khóa riêng chưa được xác nhận là bị lộ, vậy mà kẻ tấn công vẫn có thể hoàn tất việc chuyển tài sản. Rốt cuộc họ đã làm điều đó bằng cách nào?
Nói thẳng ra, sự cố lần này có thể đã phơi bày một vấn đề mà nhiều người dễ bỏ qua: lỗ hổng bảo mật lớn nhất của sàn giao dịch không nhất thiết nằm ở ví, mà có thể nằm bên ngoài ví.
Theo thông tin ban đầu Binance công bố, cuộc tấn công có thể bắt đầu từ việc máy tính xách tay của một kỹ sư DevOps bị xâm nhập, sau đó lan sang các container dịch vụ nội bộ và quy trình rút tiền.
Sau đó, GCSA đã tiến hành một đợt giám định trên chuỗi, rà soát lại 18 giao dịch gốc, 50 chữ ký ủy quyền ban đầu EIP-7702 và 1 chữ ký thu hồi ủy quyền.
Có một chi tiết kỹ thuật đáng chú ý ở đây: một giao dịch Type-4 có thể chứa 50 mục ủy quyền, nhưng điều đó không có nghĩa là cả 50 mục đều có hiệu lực. Chữ ký hợp lệ cũng không đồng nghĩa với việc khóa riêng đã bị đánh cắp.
Báo cáo cũng truy vết ba giao dịch liên tiếp có liên quan đến MetaMask Gas Station, và phát hiện số ETH nạp ở giao dịch trước khớp chính xác với ngân sách Gas tối đa của hai giao dịch tiếp theo.
Còn những tuyên bố như kẻ tấn công chọn nhầm USDT hay MetaMask nắm được IP thật thì hiện chưa có đủ bằng chứng để chứng minh.
TRM Labs đánh giá với độ tin cậy cao rằng sự cố có liên quan đến nhóm đe dọa TraderTraitor có liên hệ với Triều Tiên, nhưng điều đó cũng không đồng nghĩa với việc danh tính và lộ trình hoạt động của kẻ tấn công đã được tái dựng đầy đủ.
Tôi luôn nghĩ rằng bảo mật sàn giao dịch không thể chỉ tập trung vào ví lạnh, cơ chế đa chữ ký và khóa riêng.
Máy tính của nhân viên, quyền truy cập nội bộ, môi trường DevOps, dịch vụ ký giao dịch, quy trình phê duyệt rút tiền, thậm chí cả hạ tầng của bên thứ ba — chỉ cần bất kỳ mắt xích nào bị xâm phạm, toàn bộ hệ thống bảo vệ tài sản đều có thể trở nên vô nghĩa.
Còn một điểm nữa: ước tính tác động của sự cố ở mức khoảng 6,3 tỷ USD không đồng nghĩa với khoản lỗ ròng cuối cùng, và đóng băng tài sản cũng không đồng nghĩa với thu hồi được chúng.
Điều thực sự đáng để toàn ngành suy ngẫm sau sự cố này là: khi kẻ tấn công không cần trực tiếp lấy được khóa riêng mà vẫn có thể điều động tài sản, thì ranh giới bảo mật của sàn giao dịch như chúng ta vẫn hiểu trước đây có lẽ đã không còn đủ nữa.
Khóa riêng chưa được xác nhận là bị lộ, vậy mà kẻ tấn công vẫn có thể hoàn tất việc chuyển tài sản. Rốt cuộc họ đã làm điều đó bằng cách nào?
Nói thẳng ra, sự cố lần này có thể đã phơi bày một vấn đề mà nhiều người dễ bỏ qua: lỗ hổng bảo mật lớn nhất của sàn giao dịch không nhất thiết nằm ở ví, mà có thể nằm bên ngoài ví.
Theo thông tin ban đầu Binance công bố, cuộc tấn công có thể bắt đầu từ việc máy tính xách tay của một kỹ sư DevOps bị xâm nhập, sau đó lan sang các container dịch vụ nội bộ và quy trình rút tiền.
Sau đó, GCSA đã tiến hành một đợt giám định trên chuỗi, rà soát lại 18 giao dịch gốc, 50 chữ ký ủy quyền ban đầu EIP-7702 và 1 chữ ký thu hồi ủy quyền.
Có một chi tiết kỹ thuật đáng chú ý ở đây: một giao dịch Type-4 có thể chứa 50 mục ủy quyền, nhưng điều đó không có nghĩa là cả 50 mục đều có hiệu lực. Chữ ký hợp lệ cũng không đồng nghĩa với việc khóa riêng đã bị đánh cắp.
Báo cáo cũng truy vết ba giao dịch liên tiếp có liên quan đến MetaMask Gas Station, và phát hiện số ETH nạp ở giao dịch trước khớp chính xác với ngân sách Gas tối đa của hai giao dịch tiếp theo.
Còn những tuyên bố như kẻ tấn công chọn nhầm USDT hay MetaMask nắm được IP thật thì hiện chưa có đủ bằng chứng để chứng minh.
TRM Labs đánh giá với độ tin cậy cao rằng sự cố có liên quan đến nhóm đe dọa TraderTraitor có liên hệ với Triều Tiên, nhưng điều đó cũng không đồng nghĩa với việc danh tính và lộ trình hoạt động của kẻ tấn công đã được tái dựng đầy đủ.
Tôi luôn nghĩ rằng bảo mật sàn giao dịch không thể chỉ tập trung vào ví lạnh, cơ chế đa chữ ký và khóa riêng.
Máy tính của nhân viên, quyền truy cập nội bộ, môi trường DevOps, dịch vụ ký giao dịch, quy trình phê duyệt rút tiền, thậm chí cả hạ tầng của bên thứ ba — chỉ cần bất kỳ mắt xích nào bị xâm phạm, toàn bộ hệ thống bảo vệ tài sản đều có thể trở nên vô nghĩa.
Còn một điểm nữa: ước tính tác động của sự cố ở mức khoảng 6,3 tỷ USD không đồng nghĩa với khoản lỗ ròng cuối cùng, và đóng băng tài sản cũng không đồng nghĩa với thu hồi được chúng.
Điều thực sự đáng để toàn ngành suy ngẫm sau sự cố này là: khi kẻ tấn công không cần trực tiếp lấy được khóa riêng mà vẫn có thể điều động tài sản, thì ranh giới bảo mật của sàn giao dịch như chúng ta vẫn hiểu trước đây có lẽ đã không còn đủ nữa.