6,34 tỷ USD tài sản đã bị ảnh hưởng.
Nhưng sau khi đọc báo cáo của Binance về vụ tấn công ngày 29 tháng 10, tôi không nghĩ bản thân con số đó là điều đáng sợ nhất.
Điều đáng sợ nhất là:
Có thể kẻ tấn công không cần đến khóa riêng tư.
Họ chỉ cần kiểm soát hệ thống được phép sử dụng khóa đó.
Vụ tấn công này không xảy ra chỉ sau một đêm.
Theo báo cáo, kẻ tấn công đã sử dụng kỹ thuật thao túng tâm lý, các buổi phỏng vấn tuyển dụng giả mạo, mã độc, thiết bị nhân viên bị xâm nhập, thông tin xác thực bị đánh cắp, công cụ AI nội bộ và quyền triển khai…
cho đến khi cuối cùng tiếp cận được dịch vụ ký của ví.
Từ đó, họ có thể khởi tạo giao dịch bên ngoài quy trình rút tiền thông thường.
XRP, SOL, OP, BTC và ETH đã được chuyển khỏi các ví nóng của Binance.
Tổng tài sản bị ảnh hưởng: khoảng 6,34 tỷ USD
Binance cho biết khoảng 2,85 tỷ USD đã bị đóng băng hoặc chặn lại, trong khi 98% tài sản token bị ảnh hưởng đã được bổ sung lại.
Nhưng có một điểm khác biệt quan trọng:
Bổ sung lại 98% ≠ thu hồi được 98% từ kẻ tấn công.
Bổ sung lại có nghĩa là Binance đã sử dụng nguồn lực của mình để bù đắp số tài sản bị mất.
Tuy nhiên, điều khiến tôi chú ý nhất là EIP-7702.
Kẻ tấn công đã tạo ủy quyền trên chuỗi cho một hợp đồng thông minh do chúng kiểm soát.
Điều đó có nghĩa là ngay cả sau khi Binance tạm dừng rút tiền, một số giao dịch chuyển tài sản trái phép vẫn không thể bị chặn ngay lập tức.
Ví nóng cũng sử dụng MPC, nên không có một khóa riêng tư duy nhất nào có thể được dùng đơn giản để thu hồi ngay lập tức ủy quyền độc hại đó.
Sự cố này đã thay đổi cách tôi nhìn nhận về bảo mật ví.
Câu hỏi trước đây là:
“Khóa riêng tư có an toàn không?”
Có lẽ câu hỏi hay hơn là:
Ai có thể khiến hệ thống ký?
Ai có thể triển khai mã?
Thông tin xác thực nào có thể truy cập đến bộ phận ký?
Thiết bị của một nhân viên bị xâm nhập có thể leo thang đến mức nào?
Khóa riêng tư có thể vẫn đang nằm chính xác ở nơi nó cần nằm.
Nhưng nếu kẻ tấn công có thể khiến hạ tầng ký thay mặt chúng…
thì điều đó có thực sự khác gì so với việc có khóa trong tay không?
Nhưng sau khi đọc báo cáo của Binance về vụ tấn công ngày 29 tháng 10, tôi không nghĩ bản thân con số đó là điều đáng sợ nhất.
Điều đáng sợ nhất là:
Có thể kẻ tấn công không cần đến khóa riêng tư.
Họ chỉ cần kiểm soát hệ thống được phép sử dụng khóa đó.
Vụ tấn công này không xảy ra chỉ sau một đêm.
Theo báo cáo, kẻ tấn công đã sử dụng kỹ thuật thao túng tâm lý, các buổi phỏng vấn tuyển dụng giả mạo, mã độc, thiết bị nhân viên bị xâm nhập, thông tin xác thực bị đánh cắp, công cụ AI nội bộ và quyền triển khai…
cho đến khi cuối cùng tiếp cận được dịch vụ ký của ví.
Từ đó, họ có thể khởi tạo giao dịch bên ngoài quy trình rút tiền thông thường.
XRP, SOL, OP, BTC và ETH đã được chuyển khỏi các ví nóng của Binance.
Tổng tài sản bị ảnh hưởng: khoảng 6,34 tỷ USD
Binance cho biết khoảng 2,85 tỷ USD đã bị đóng băng hoặc chặn lại, trong khi 98% tài sản token bị ảnh hưởng đã được bổ sung lại.
Nhưng có một điểm khác biệt quan trọng:
Bổ sung lại 98% ≠ thu hồi được 98% từ kẻ tấn công.
Bổ sung lại có nghĩa là Binance đã sử dụng nguồn lực của mình để bù đắp số tài sản bị mất.
Tuy nhiên, điều khiến tôi chú ý nhất là EIP-7702.
Kẻ tấn công đã tạo ủy quyền trên chuỗi cho một hợp đồng thông minh do chúng kiểm soát.
Điều đó có nghĩa là ngay cả sau khi Binance tạm dừng rút tiền, một số giao dịch chuyển tài sản trái phép vẫn không thể bị chặn ngay lập tức.
Ví nóng cũng sử dụng MPC, nên không có một khóa riêng tư duy nhất nào có thể được dùng đơn giản để thu hồi ngay lập tức ủy quyền độc hại đó.
Sự cố này đã thay đổi cách tôi nhìn nhận về bảo mật ví.
Câu hỏi trước đây là:
“Khóa riêng tư có an toàn không?”
Có lẽ câu hỏi hay hơn là:
Ai có thể khiến hệ thống ký?
Ai có thể triển khai mã?
Thông tin xác thực nào có thể truy cập đến bộ phận ký?
Thiết bị của một nhân viên bị xâm nhập có thể leo thang đến mức nào?
Khóa riêng tư có thể vẫn đang nằm chính xác ở nơi nó cần nằm.
Nhưng nếu kẻ tấn công có thể khiến hạ tầng ký thay mặt chúng…
thì điều đó có thực sự khác gì so với việc có khóa trong tay không?
