giới thiệu

Cuộc tấn công nạp tiền giả mạo đề cập đến việc kẻ tấn công gửi thông tin giao dịch giả mạo đến địa chỉ ví trao đổi bằng cách khai thác lỗ hổng hoặc lỗi hệ thống trong quá trình xử lý nạp tiền của sàn giao dịch. Những thông tin giao dịch giả mạo này bị sàn giao dịch nhầm là yêu cầu nạp tiền thực và thêm tài sản kỹ thuật số tương ứng. hoặc tiền tệ vào tài khoản của kẻ tấn công. Bằng cách sử dụng phương pháp này, kẻ tấn công có thể lấy được tài sản kỹ thuật số chưa thanh toán, dẫn đến tổn thất tài sản trên sàn giao dịch.

Bài viết này nhằm mục đích khám phá sâu sắc cách các cuộc tấn công gửi tiền giả có thể phá vỡ cơ chế bảo vệ của sàn giao dịch. Chúng tôi sẽ phân tích các nguyên tắc của các cuộc tấn công nạp tiền giả và tiết lộ các lỗ hổng cũng như chiến lược bị kẻ tấn công khai thác. Đồng thời, chúng tôi sẽ phân tích các cuộc tấn công nạp tiền giả thông qua các ví dụ để hiểu rõ hơn về phương thức và tác động của cuộc tấn công. Ngoài ra, chúng tôi cũng sẽ thảo luận về các biện pháp dự phòng và phòng ngừa để các sàn giao dịch đối phó với các cuộc tấn công tiền gửi giả nhằm đưa ra các đề xuất phù hợp nhằm bảo vệ tài sản và ứng phó với các cuộc tấn công tương tự.

Phân tích nguyên tắc nạp tiền

Trước khi hiểu về nạp tiền giả, trước tiên chúng ta cần hiểu nguyên tắc nạp tiền của sàn giao dịch.

Một quy trình điển hình như sau:

1. Tạo địa chỉ ví

Sàn giao dịch chỉ định cho mỗi người dùng một địa chỉ ví duy nhất để nhận tiền gửi của người dùng. Những địa chỉ này thường được hệ thống của sàn giao dịch tự động tạo ra. Khi người dùng nạp tiền, họ cần gửi tài sản kỹ thuật số đến một địa chỉ ví cụ thể trong tài khoản sàn giao dịch.

2. Quét sổ cái blockchain

Các nút của sàn giao dịch sẽ đồng bộ hóa với các nút khác trong mạng blockchain để có được trạng thái blockchain và thông tin giao dịch mới nhất. Khi nút trao đổi nhận được một khối mới, nó sẽ trích xuất ID giao dịch nạp tiền của người dùng và số tiền tương ứng từ nội dung giao dịch có trong khối hoặc sự kiện thực hiện giao dịch do khối kích hoạt và thêm nó vào danh sách cần nạp tiền.

3. Xác nhận việc nhập vào tài khoản

Các sàn giao dịch thường yêu cầu giao dịch phải nhận được một số xác nhận nhất định trong mạng blockchain trước khi nó được coi là hợp lệ. Xác nhận có nghĩa là khối giao dịch được tham chiếu bởi một số khối nhất định và được xác minh và xác nhận bởi những người khai thác khác. Số lượng xác nhận do các sàn giao dịch đặt ra có thể khác nhau tùy theo các tài sản và mạng kỹ thuật số khác nhau.

như hình ảnh cho thấy:

(Cuộc tấn công nạp tiền giả xảy ra ở bước 5 và 6)

Chế độ tấn công nạp tiền giả

Các sàn giao dịch bị tin tặc tấn công nặng nề nhất, vì vậy các sàn giao dịch thường đặt máy chủ của họ phía sau các hệ thống phòng thủ hạng nặng và thậm chí phải lưu trữ chúng ngoại tuyến cho các dịch vụ cốt lõi quản lý tiền. Tuy nhiên, do yêu cầu về tính toàn vẹn dữ liệu của hệ thống blockchain, các giao dịch độc hại sẽ không bị hệ thống bảo mật ngoại vi chặn.

Cần lưu ý rằng cuộc tấn công nạp tiền giả mạo không phải là lỗ hổng của blockchain mà kẻ tấn công sử dụng một số đặc điểm của blockchain để xây dựng các giao dịch đặc biệt. Những giao dịch độc hại này sẽ khiến sàn giao dịch nhầm nó với yêu cầu nạp tiền thực sự hoặc xử lý cùng một yêu cầu nạp tiền nhiều lần. Sau thời gian dài chiến đấu thực tế, nhóm bảo mật SlowMist đã tóm tắt một số phương thức tấn công nạp tiền giả phổ biến:

Kể từ năm 2018, nhóm bảo mật SlowMist đã lần đầu tiên tiết lộ nhiều cuộc tấn công nạp tiền giả mạo, bao gồm:

  • Phân tích rủi ro bảo mật chuyển tiền giả USDT [1]

  • Việc nạp tiền giả mạo EOS (tấn công trạng thái hard_fail) tiết lộ chi tiết cảnh báo đỏ và kế hoạch sửa chữa [2]

  • Tiết lộ chi tiết về lỗ hổng “nạp tiền giả” của token Ethereum và kế hoạch sửa chữa [3]

  • Phân tích rủi ro nạp tiền giả Bitcoin RBF [4]

Ngoài các cuộc tấn công nạp tiền giả đã được tiết lộ, còn có nhiều phương thức tấn công cổ điển mà chúng tôi chưa tiết lộ, cũng như một số phương thức tấn công phổ biến. Ví dụ:

  • Nạp tiền giả đa chữ ký bitcoin

  • Ripple thanh toán một phần nạp tiền giả

  • Filecoin chi tiêu gấp đôi nạp tiền giả

  • TON phục hồi tiền gửi giả

Nếu bạn muốn biết thêm chi tiết, xin vui lòng liên hệ với chúng tôi để thảo luận sâu hơn.

Nghiên cứu điển hình: TON phục hồi nạp tiền giả

Hầu hết tất cả các blockchain đều có vấn đề về nạp tiền giả, nhưng một số cuộc tấn công rất dễ tránh được, trong khi những cuộc tấn công khác yêu cầu nghiên cứu rất sâu về các đặc điểm của blockchain để tránh chúng.

Lấy khoản tiền gửi giả TON làm ví dụ, chúng tôi sẽ cho bạn thấy những kẻ tấn công xảo quyệt có thể sử dụng các đặc điểm của TON để tấn công các sàn giao dịch như thế nào.

TON (The Open Network) là dự án blockchain được triển khai bởi phần mềm truyền thông nổi tiếng Telegram, hỗ trợ triển khai hợp đồng thông minh trên tài khoản của người dùng.

Khi sàn giao dịch kết nối với TON để nạp tiền, theo phương pháp được mô tả trước đó, trước tiên nó sẽ tạo địa chỉ nạp tiền cho người dùng, sau đó người dùng sẽ chuyển tài sản đến địa chỉ nạp tiền và cuối cùng xác nhận tiền gửi.

Làm thế nào để một sàn giao dịch xác nhận rằng một giao dịch thuộc về người dùng của nó? Chúng tôi sử dụng giao diện RPC để xem chuyển khoản thông thường:

Thông thường sàn giao dịch sẽ xác định xem đích đến trong in_msg có phải là địa chỉ nạp tiền của người dùng hay không. Nếu đúng như vậy thì giá trị số tiền sẽ được quy đổi theo độ chính xác và ghi có vào tài khoản của người dùng. Nhưng điều này có an toàn không?

Một đặc điểm của giao dịch TON là hầu hết tất cả các tin nhắn nội bộ được gửi giữa các hợp đồng thông minh đều có thể bị trả lại, tức là cờ trả lại của chúng phải được đặt. Bằng cách này, nếu hợp đồng thông minh mục tiêu không tồn tại hoặc một ngoại lệ chưa được xử lý được đưa ra trong khi xử lý tin nhắn này, tin nhắn sẽ bị "trả lại" trở lại, mang theo số dư của giá trị ban đầu (trừ tất cả phí chuyển tin nhắn và phí gas).

Nói cách khác, nếu kẻ tấn công có ác ý chuyển tiền vào tài khoản chưa triển khai hợp đồng bằng cách đặt cờ trả lại, số tiền nạp sẽ bị trả về tài khoản ban đầu sau khi trừ phí xử lý. Sàn giao dịch đã phát hiện hồ sơ nạp tiền của người dùng, nhưng không ngờ rằng số tiền đã nạp lại thực sự sẽ quay trở lại tài khoản của kẻ tấn công.

Hãy xem xét giao dịch này. So với giao dịch thông thường, chúng ta có thể thấy rằng có thêm out_msg. Out_msg này là hoạt động của số tiền được trả về tài khoản ban đầu.

Nếu sàn giao dịch chỉ kiểm tra in_msg, nó sẽ nhầm lẫn tài khoản của kẻ tấn công, gây mất tài sản nền tảng.

Các phương pháp hay nhất để ngăn chặn các cuộc tấn công nạp tiền giả mạo

Một số chiến lược cơ bản để ngăn chặn các cuộc tấn công nạp tiền giả là:

1. Cơ chế xác nhận nhiều lần: Đặt nhiều yêu cầu xác nhận để nạp tiền để đảm bảo rằng các giao dịch chỉ được coi là hợp lệ sau khi có đủ xác nhận trên blockchain. Số lượng xác nhận phải được đặt dựa trên tính bảo mật của các tài sản kỹ thuật số khác nhau và tốc độ xác nhận của chuỗi khối;

2. Khớp giao dịch nghiêm ngặt: Khi lọc các giao dịch của người dùng khỏi khối, chỉ những giao dịch hoàn toàn khớp với chế độ chuyển thông thường mới có thể tự động được đặt thành ghi có và cuối cùng phải kiểm tra sự thay đổi số dư;

3. Hệ thống kiểm soát rủi ro: Thiết lập hệ thống kiểm soát rủi ro hoàn chỉnh để theo dõi và phát hiện các hoạt động giao dịch bất thường. Hệ thống có thể xác định các rủi ro tiềm ẩn và hành vi bất thường bằng cách phân tích các yếu tố như kiểu nạp tiền, tần suất giao dịch, quy mô giao dịch, v.v.;

4. Xem xét thủ công: Đối với số tiền lớn hơn hoặc giao dịch có rủi ro cao, cơ chế xem xét thủ công được sử dụng để xem xét bổ sung. Xem xét thủ công có thể tăng độ tin cậy của giao dịch, phát hiện các giao dịch bất thường và ngăn chặn việc nạp tiền có mục đích xấu;

5. Bảo mật API: Thực hiện xác thực và ủy quyền bảo mật trên các giao diện API bên ngoài để tránh truy cập trái phép và các lỗ hổng tiềm ẩn. Thường xuyên xem xét tính bảo mật của giao diện API và cập nhật, sửa lỗi bảo mật kịp thời;

6. Hạn chế rút tiền: Sau khi nạp tiền, người dùng tạm thời bị hạn chế rút tài sản đã nạp. Điều này sẽ giúp sàn giao dịch có đủ thời gian để xác nhận tính hợp lệ của việc nạp tiền và ngăn chặn các cuộc tấn công nạp tiền giả mạo tiềm ẩn;

7. Cập nhật bảo mật: Cập nhật phần mềm và hệ thống trao đổi kịp thời để khắc phục các lỗ hổng bảo mật có thể xảy ra. Liên tục theo dõi trạng thái bảo mật của sàn giao dịch và làm việc với các chuyên gia an ninh mạng để tiến hành kiểm tra bảo mật và kiểm tra thâm nhập thường xuyên.

Để ngăn chặn việc nạp tiền giả trên một blockchain cụ thể, bạn cần đọc qua tài liệu chính thức để hiểu các đặc điểm của giao dịch.

Hệ thống phát hiện nạp tiền giả Badwhale

Nhóm bảo mật SlowMist đã phát triển hệ thống thử nghiệm nạp tiền giả Badwhale thông qua thực hành tấn công và phòng thủ dài hạn, được phát triển đặc biệt cho các nền tảng quản lý tài sản kỹ thuật số. Hệ thống này được thiết kế để giúp họ phát hiện và đánh giá khả năng ngăn chặn các cuộc tấn công nạp tiền giả và tối ưu hóa cơ chế phòng thủ để đảm bảo an toàn cho tài sản của người dùng và độ tin cậy của nền tảng quản lý tài sản kỹ thuật số.

Badwhale là một hệ thống thương mại dành riêng cho nhóm bảo mật SlowMist và đã được phát triển trong nhiều năm. Nó đã phục vụ hàng chục nền tảng trong nhiều năm và tránh được nguy cơ nạp tiền sai ước tính trị giá hàng tỷ đô la.

Tính năng đặc biệt:

1. Mô phỏng các cuộc tấn công nạp tiền giả: Badwhale có thể mô phỏng nhiều loại tấn công nạp tiền giả khác nhau và tự động gửi yêu cầu nạp tiền giả đến nền tảng quản lý tài sản kỹ thuật số đang được thử nghiệm. Điều này giúp đánh giá điểm yếu của nền tảng quản lý tài sản kỹ thuật số và xác định các lỗ hổng và rủi ro bảo mật tiềm ẩn;

2. Các kịch bản thử nghiệm đa dạng: Hệ thống cung cấp các kịch bản thử nghiệm và phương thức tấn công đa dạng, có thể kiểm tra toàn diện khả năng phòng thủ nạp tiền giả của nền tảng quản lý tài sản kỹ thuật số tùy theo tình hình thực tế;

3. Khả năng mở rộng cao: Badwhale được thiết kế như một hệ thống thử nghiệm có khả năng mở rộng cao, hỗ trợ thử nghiệm cho các nền tảng quản lý tài sản kỹ thuật số và nền tảng blockchain khác nhau, đồng thời có thể thích ứng linh hoạt với nhu cầu của các kiến ​​trúc hệ thống và môi trường kỹ thuật khác nhau.

Badwhale hiện hỗ trợ các thử nghiệm nạp tiền giả trên hàng trăm chuỗi công khai và hàng chục nghìn token, bao gồm:

  • Nhóm Bitcoin (BTC/LTC/DOGE/QTUM...)

  • BitcoinCash

  • Gia đình Ethereum

    (ETH/BSC/HECO/RON/CFX-evm/FIL-evm/AVAX-evm/FTM-evm/RSK/GNO/MOVR-evm/GLMR-evm/KLAY/FSN/CELO/CANTO/EGLD/AURORA-evm /TLC/WEMIX/CORE/VS/WAN/KCCL/OKX...)

  • Mã thông báo ERC20 (USDT...)

  • Ethereum L2 (ARB/OP/METIS...)

  • Đa giác

  • Mã thông báo đa giác

  • Gia đình vũ trụ (ATOM/LUNA/KAVA/IRIS/OSMO...)

  • Họ EOS và token EOS (EOS/WAX/XPR/FIO/TLOS...)

  • gợn sóng

  • Chảy

  • Căn hộ

  • Solana

  • Solana SPL-Token

  • Bối rối

  • Gia đình Polkadot (DOT/ASTR/PARA/MOVR/GLMR...)

  • Tron

  • Filecoin

  • Tôn

  • Mina

  • Cố lên

  • Số thứ tự (ORDI...)

  • …

Với các chức năng mạnh mẽ của Badwhale, nền tảng quản lý tài sản kỹ thuật số có thể tiến hành các thử nghiệm phòng thủ nạp tiền giả toàn diện để hiểu hiệu suất của nó khi đối mặt với các cuộc tấn công nạp tiền giả, tối ưu hóa cơ chế phòng thủ và cải thiện tính bảo mật của tài sản người dùng. Sự ra đời của Badwhale sẽ giúp nền tảng quản lý tài sản kỹ thuật số tăng cường bảo vệ an ninh, cải thiện khả năng chống lại các cuộc tấn công nạp tiền giả mạo và đảm bảo độ tin cậy của các giao dịch tài sản kỹ thuật số và niềm tin của người dùng.

Phần kết luận

Bằng nghiên cứu chuyên sâu về các phương pháp đột phá của các cuộc tấn công nạp tiền giả, chúng ta có thể hiểu rõ hơn tầm quan trọng của nền tảng quản lý tài sản kỹ thuật số trong việc bảo vệ tài sản người dùng và duy trì an ninh. Chỉ bằng cách tăng cường các biện pháp phòng thủ an ninh, liên tục theo dõi các lỗ hổng và thực hiện các biện pháp đối phó thích hợp, nền tảng quản lý tài sản kỹ thuật số mới có thể xử lý hiệu quả các cuộc tấn công nạp tiền giả mạo và các mối đe dọa bảo mật khác, đồng thời đảm bảo độ tin cậy và độ tin cậy của các giao dịch tài sản kỹ thuật số.

Liên kết tham khảo:

[1] https://mp.weixin.qq.com/s/CtAKLNe0MOKDyUFaod4_hw

[2] https://mp.weixin.qq.com/s/fKINfZLW65LYaD4qO-21nA

[3] https://mp.weixin.qq.com/s/3cMbE6p_4qCdVLa4FNA5-A

[4] https://mp.weixin.qq.com/s/OYi2JDbAoLEdg8VDouqbIg