Ký kết liều lĩnh! Cá voi mã hóa mất 6.28 triệu đô la do chữ ký ác ý

Một cá voi tài sản tiền điện tử đã gặp phải tổn thất tài sản đáng kinh ngạc vào ngày 18 tháng 9, chỉ vì một thao tác ký tên có vẻ vô hại, dẫn đến việc hơn 6 triệu đô la Mỹ Ether thế chấp (stETH) và Bitcoin được đóng gói Aave (aEthWBTC) bị đánh cắp. Công ty an ninh blockchain Scam Sniffer báo cáo rằng nhà đầu tư này đã vô tình phê duyệt một chữ ký "ủy quyền" độc hại trong một cuộc tấn công lừa đảo được thiết kế tinh vi, cho phép kẻ tấn công rút cạn Ví tiền của mình mà không cần phải trả bất kỳ khoản phí Gas nào.

「Tấn công im lặng」: Một chữ ký, 6,28 triệu đô la biến mất trong nháy mắt

（Nguồn：X）

Người sáng lập công ty an ninh SlowMist, Yu Xian, đã thực hiện một phân tích chi tiết về sự kiện này, tiết lộ sự khủng khiếp của những cuộc tấn công như vậy. Ông cho biết:

"Từ góc độ của nạn nhân, anh ta chỉ đã nhấp vài lần, xác nhận chữ ký xuất hiện trong ví tiền, không tốn một xu phí gas nào, 6.28 triệu đô la đã biến mất."

Điều đáng sợ của cuộc tấn công này là tính ẩn danh của nó. Kẻ tấn công khéo léo ngụy trang các hoạt động độc hại thành các bước xác nhận ví tiền thông thường, dụ dỗ nạn nhân cho phép chuyển giao tài sản mà không gây ra bất kỳ cảnh báo nào. Do giao dịch không tiêu tốn Gas, nạn nhân hoàn toàn không nhận ra mối nguy hiểm cho đến khi tài sản đã bị chuyển đi thì đã quá muộn.

「Cho phép」 lỗ hổng: Rủi ro chết người ẩn sau sự tiện lợi

Các cuộc tấn công này đã tận dụng một lỗ hổng trong chức năng được gọi là "Permit". Chức năng này ban đầu nhằm đơn giản hóa quy trình chuyển giao token: người dùng không cần thực hiện lệnh trên chuỗi và thanh toán phí Gas, chỉ cần ký một thông điệp ngoài chuỗi để ủy quyền cho bên thứ ba.

Tuy nhiên, sự tiện lợi này cũng mở ra một mặt tấn công mới cho kẻ tấn công độc hại. Khi nạn nhân ký vào "giấy phép", kẻ tấn công có thể kết hợp hai hàm - Permit và TransferFrom - để trực tiếp rút tài sản. Bởi vì việc ủy quyền được thực hiện ngoại tuyến, nên trước khi tài sản được rút, bảng điều khiển ví tiền sẽ không hiển thị bất kỳ hoạt động bất thường nào.

Kết quả là, khi giao dịch được thực hiện trên chuỗi, tất cả các token đã được chuyển đến ví tiền của kẻ tấn công. Chính lỗ hổng này đã khiến cho cuộc tấn công Permit ngày càng được các hacker ưa chuộng, cho phép họ rút hàng triệu đô la mà không cần kỹ thuật hack phức tạp hoặc chi phí Gas cao.

Sự gia tăng tấn công lừa đảo qua mạng: Mất mát đạt 12,17 triệu USD trong tháng 8

Sự kiện này không phải là một trường hợp đơn lẻ, mà phản ánh xu hướng ngày càng gia tăng của hoạt động lừa đảo trực tuyến. Theo số liệu thống kê từ Scam Sniffer, chỉ trong tháng 8, các kẻ tấn công đã đánh cắp 12,17 triệu đô la từ hơn 15.200 nạn nhân, tăng 72% so với tháng 7.

Điều đáng lo ngại hơn là gần một nửa số tổn thất đến từ ba ví lớn, trong đó một ví đã mất 3.08 triệu USD trong một sự kiện. Điều này cho thấy những kẻ tấn công đang nhắm mục tiêu vào những người nắm giữ tài sản tiền điện tử có giá trị cao.

Scam Sniffer phân tích cho rằng, sự tăng trưởng này chủ yếu do các vụ lừa đảo liên quan đến EIP-7702 (lừa đảo ký tên hàng loạt) và người dùng vô tình ký trực tiếp vào các hợp đồng độc hại.

Chuyên gia khuyến nghị: Cách bảo vệ tài sản mã hóa của bạn

Trước sự gia tăng của các cuộc tấn công này, các chuyên gia bảo mật đã đưa ra các khuyến nghị sau đây để giúp người dùng tài sản tiền điện tử bảo vệ tài sản của mình:

· Hãy duy trì sự cảnh giác cao độ đối với tất cả các yêu cầu ký tên ví tiền, đặc biệt là những yêu cầu yêu cầu quyền truy cập không giới hạn vào tài sản.

· Sử dụng ví tiền phần cứng hỗ trợ xem trước giao dịch chi tiết, có thể giúp nhận diện giao dịch độc hại.

· Trước khi ký bất kỳ giấy phép hoặc chấp thuận nào, hãy kiểm tra kỹ các chi tiết giao dịch và đảm bảo hiểu những gì bạn đang ủy quyền.

· Cân nhắc sử dụng Ví tiền đa chữ ký hoặc thiết lập hạn mức giao dịch để giảm thiểu rủi ro điểm lỗi đơn.

· Thường xuyên kiểm tra các giấy phép đã được cấp, và thu hồi những giấy phép không còn cần thiết.

Sự kiện này một lần nữa nhắc nhở chúng ta rằng, trong thế giới tài sản tiền điện tử, ngay cả những thao tác đơn giản nhất cũng có thể mang lại rủi ro lớn. Khi những kẻ tấn công liên tục phát triển các chiêu trò lừa đảo mới, việc giữ cảnh giác và hiểu biết về những mối đe dọa an ninh mới nhất trở nên quan trọng hơn bao giờ hết.