Đã khóa không có nghĩa là an toàn: hacker đang rút staking số MANTRA của nạn nhân!
Ngày 13 tháng 11, MANTRA tạm dừng việc unstake mới trong 7 ngày. Thời gian chờ bảo vệ người staking chỉ có tác dụng nếu chính bạn là người nhấn nút unstake.
Staking là khóa coin để góp phần vận hành một blockchain. Muốn lấy coin ra, bạn phải «unstake» rồi chờ (8 ngày trên MANTRA).
Chuyện này xảy ra như thế nào?
> Keplr, một ví phổ biến dành cho các đồng coin dựa trên Cosmos, cho phép bạn mở tài khoản bằng cụm từ khôi phục, thiết bị phần cứng hoặc đăng nhập Google hay Apple.
> Khi đăng nhập bằng Google hoặc Apple, một dịch vụ bên thứ ba có tên Web3Auth sẽ tạo khóa riêng tư của bạn (mật khẩu chính để truy cập coin), thay vì dùng cụm từ do bạn tự ghi lại.
> Ngày 6 tháng 11, một lỗ hổng tại Web3Auth đã làm lộ một số khóa. Đồng sáng lập Keplr cho biết đây không phải là vụ tấn công vào mã nguồn của Keplr và ước tính khoảng 20% tài khoản đăng nhập bằng Google và Apple bị ảnh hưởng.
> Theo MANTRA, kẻ trộm lấy các coin chưa staking trước, rồi bắt đầu unstake những coin đang staking. MANTRA đã đóng băng ví của chúng bằng một cuộc bỏ phiếu quản trị và tạm dừng việc unstake mới. Họ sẽ đánh giá lại sau 7 ngày.
Các yêu cầu unstake đã bắt đầu vẫn không bị tạm dừng. Theo MANTRA, bất kỳ ai đang có yêu cầu unstake phải stake lại (ủy quyền lại) trước khi hết 8 ngày, nếu không kẻ trộm có thể nhận được số coin đó.
Quy mô thiệt hại là bao nhiêu? Chưa có con số thống nhất. Bitquery lần theo khoảng 6 triệu đô la được chuyển khỏi hơn 44.000 ví, nhưng một phần là do Web3Auth giải cứu coin trước khi kẻ trộm lấy được. GoPlus ước tính có ít nhất khoảng 1 triệu đô la bị đánh cắp. Hiện chưa có tổng số cuối cùng hay kế hoạch hoàn tiền.
Kiểm tra nhanh, theo lời khuyên của Keplr:
- Tài khoản dùng cụm từ khôi phục và ví phần cứng không bị ảnh hưởng. Tài khoản đăng nhập bằng Google hoặc Apple thì có.
- Nếu bạn dùng tài khoản đăng nhập mạng xã hội: ngừng nạp tiền và chuyển các coin chưa staking sang tài khoản dùng cụm từ khôi phục hoặc ví phần cứng.
- Bỏ qua tin nhắn riêng và đường liên kết mời chào «hỗ trợ khôi phục». Chỉ tin các bài đăng chính thức từ Keplr và Web3Auth.
Cần theo dõi điều gì? Đợt đánh giá của MANTRA, vào khoảng ngày 20 tháng 11 theo giờ UTC. Tạm dừng được gỡ bỏ, gia hạn hay có lời giải thích?
Ai nắm giữ khóa thì người đó kiểm soát ổ khóa.
Bạn đã tạo ví bằng cách nào: cụm từ khôi phục, thiết bị phần cứng hay đăng nhập mạng xã hội?
Chia sẻ trải nghiệm, không phải lời khuyên tài chính. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
Ngày 13 tháng 11, MANTRA tạm dừng việc unstake mới trong 7 ngày. Thời gian chờ bảo vệ người staking chỉ có tác dụng nếu chính bạn là người nhấn nút unstake.
Staking là khóa coin để góp phần vận hành một blockchain. Muốn lấy coin ra, bạn phải «unstake» rồi chờ (8 ngày trên MANTRA).
Chuyện này xảy ra như thế nào?
> Keplr, một ví phổ biến dành cho các đồng coin dựa trên Cosmos, cho phép bạn mở tài khoản bằng cụm từ khôi phục, thiết bị phần cứng hoặc đăng nhập Google hay Apple.
> Khi đăng nhập bằng Google hoặc Apple, một dịch vụ bên thứ ba có tên Web3Auth sẽ tạo khóa riêng tư của bạn (mật khẩu chính để truy cập coin), thay vì dùng cụm từ do bạn tự ghi lại.
> Ngày 6 tháng 11, một lỗ hổng tại Web3Auth đã làm lộ một số khóa. Đồng sáng lập Keplr cho biết đây không phải là vụ tấn công vào mã nguồn của Keplr và ước tính khoảng 20% tài khoản đăng nhập bằng Google và Apple bị ảnh hưởng.
> Theo MANTRA, kẻ trộm lấy các coin chưa staking trước, rồi bắt đầu unstake những coin đang staking. MANTRA đã đóng băng ví của chúng bằng một cuộc bỏ phiếu quản trị và tạm dừng việc unstake mới. Họ sẽ đánh giá lại sau 7 ngày.
Các yêu cầu unstake đã bắt đầu vẫn không bị tạm dừng. Theo MANTRA, bất kỳ ai đang có yêu cầu unstake phải stake lại (ủy quyền lại) trước khi hết 8 ngày, nếu không kẻ trộm có thể nhận được số coin đó.
Quy mô thiệt hại là bao nhiêu? Chưa có con số thống nhất. Bitquery lần theo khoảng 6 triệu đô la được chuyển khỏi hơn 44.000 ví, nhưng một phần là do Web3Auth giải cứu coin trước khi kẻ trộm lấy được. GoPlus ước tính có ít nhất khoảng 1 triệu đô la bị đánh cắp. Hiện chưa có tổng số cuối cùng hay kế hoạch hoàn tiền.
Kiểm tra nhanh, theo lời khuyên của Keplr:
- Tài khoản dùng cụm từ khôi phục và ví phần cứng không bị ảnh hưởng. Tài khoản đăng nhập bằng Google hoặc Apple thì có.
- Nếu bạn dùng tài khoản đăng nhập mạng xã hội: ngừng nạp tiền và chuyển các coin chưa staking sang tài khoản dùng cụm từ khôi phục hoặc ví phần cứng.
- Bỏ qua tin nhắn riêng và đường liên kết mời chào «hỗ trợ khôi phục». Chỉ tin các bài đăng chính thức từ Keplr và Web3Auth.
Cần theo dõi điều gì? Đợt đánh giá của MANTRA, vào khoảng ngày 20 tháng 11 theo giờ UTC. Tạm dừng được gỡ bỏ, gia hạn hay có lời giải thích?
Ai nắm giữ khóa thì người đó kiểm soát ổ khóa.
Bạn đã tạo ví bằng cách nào: cụm từ khôi phục, thiết bị phần cứng hay đăng nhập mạng xã hội?
Chia sẻ trải nghiệm, không phải lời khuyên tài chính. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
