“Ví mã hóa” được tạo bằng tính năng đăng nhập một chạm của Google đang bị quét sạch.
Tình trạng thất thoát của ví Keplr trong hệ sinh thái Cosmos vẫn tiếp diễn: các ví được tạo bằng cách đăng nhập một chạm qua tài khoản Google hoặc Apple đang bị chuyển tiền trái phép. Đồng sáng lập Keplr ước tính khoảng 20% số tài khoản dạng này bị ảnh hưởng. Đến nay, hơn 41.500 ví đã bị vét sạch, với tổng số tiền 3,16 triệu USD. Chi tiết đau lòng nhất là khi đăng nhập bằng Google, Web3Auth lưu cụm từ khôi phục trên cơ sở dữ liệu tập trung của họ; dịch vụ này (thuộc Consensys, công ty mẹ của MetaMask) tuyên bố phục vụ 50 triệu người dùng và hơn 8.200 ứng dụng.
Nói thẳng ra: nhiều người tưởng mình đang sử dụng nền tảng phi tập trung, nhưng khóa riêng thì vẫn nằm trên máy chủ của người khác. Web3Auth đã chuyển sang chế độ bảo trì. Hiện chưa phát hiện người dùng MetaMask bị ảnh hưởng; các tài khoản được tạo bằng cụm từ khôi phục và ví phần cứng cũng an toàn.
Nghiêm trọng hơn, kẻ tấn công không còn thỏa mãn với việc vét số dư trong ví mà đang thử nghiệm công cụ hàng loạt để đánh cắp $ATOM đang được staking. Việc hủy staking mất 21 ngày, còn tập lệnh của chúng thì tự động thu gom toàn bộ. Giải pháp Jae Kwon đưa ra là nhanh chóng token hóa khoản staking rồi chuyển sang ví mới. Phải hành động thật nhanh, chậm một bước thì sau 21 ngày tài sản vẫn sẽ bị vét sạch.
Quan điểm của tôi: vụ này là bài học miễn phí cho toàn bộ nhà đầu tư nhỏ lẻ — sự tiện lợi của “đăng nhập một chạm” phải trả giá bằng việc đặt niềm tin nhầm chỗ vào bên trung gian. Vỏ ngoài tự quản lý, thực chất là giao cho người khác quản lý. Tối nay hãy dành hai phút kiểm tra xem ví của bạn được tạo bằng cách nào. Nếu cũng đăng nhập bằng Google thì đừng đợi đến khi có chuyện mới nhớ ra mình để cụm từ khôi phục ở đâu.
NFA DYOR
#比特币 #钱包安全 #自托管 #Cosmos #tiềnmãhóa
Tình trạng thất thoát của ví Keplr trong hệ sinh thái Cosmos vẫn tiếp diễn: các ví được tạo bằng cách đăng nhập một chạm qua tài khoản Google hoặc Apple đang bị chuyển tiền trái phép. Đồng sáng lập Keplr ước tính khoảng 20% số tài khoản dạng này bị ảnh hưởng. Đến nay, hơn 41.500 ví đã bị vét sạch, với tổng số tiền 3,16 triệu USD. Chi tiết đau lòng nhất là khi đăng nhập bằng Google, Web3Auth lưu cụm từ khôi phục trên cơ sở dữ liệu tập trung của họ; dịch vụ này (thuộc Consensys, công ty mẹ của MetaMask) tuyên bố phục vụ 50 triệu người dùng và hơn 8.200 ứng dụng.
Nói thẳng ra: nhiều người tưởng mình đang sử dụng nền tảng phi tập trung, nhưng khóa riêng thì vẫn nằm trên máy chủ của người khác. Web3Auth đã chuyển sang chế độ bảo trì. Hiện chưa phát hiện người dùng MetaMask bị ảnh hưởng; các tài khoản được tạo bằng cụm từ khôi phục và ví phần cứng cũng an toàn.
Nghiêm trọng hơn, kẻ tấn công không còn thỏa mãn với việc vét số dư trong ví mà đang thử nghiệm công cụ hàng loạt để đánh cắp $ATOM đang được staking. Việc hủy staking mất 21 ngày, còn tập lệnh của chúng thì tự động thu gom toàn bộ. Giải pháp Jae Kwon đưa ra là nhanh chóng token hóa khoản staking rồi chuyển sang ví mới. Phải hành động thật nhanh, chậm một bước thì sau 21 ngày tài sản vẫn sẽ bị vét sạch.
Quan điểm của tôi: vụ này là bài học miễn phí cho toàn bộ nhà đầu tư nhỏ lẻ — sự tiện lợi của “đăng nhập một chạm” phải trả giá bằng việc đặt niềm tin nhầm chỗ vào bên trung gian. Vỏ ngoài tự quản lý, thực chất là giao cho người khác quản lý. Tối nay hãy dành hai phút kiểm tra xem ví của bạn được tạo bằng cách nào. Nếu cũng đăng nhập bằng Google thì đừng đợi đến khi có chuyện mới nhớ ra mình để cụm từ khôi phục ở đâu.
NFA DYOR
#比特币 #钱包安全 #自托管 #Cosmos #tiềnmãhóa