Một nhà giao dịch vừa mất 200.000 đô la Mỹ do một cuộc tấn công lừa đảo tinh vi—và phương thức này gần như quá đơn giản.
Dưới đây là diễn biến vụ việc: nạn nhân đã đánh dấu trang web trông có vẻ hợp pháp. Nghe có vẻ vô hại, phải không? Sai rồi. Trang web đã bị xâm phạm. Khi nhấp vào, nó thực thi mã JavaScript độc hại trong nền, cho phép kẻ lừa đảo truy cập toàn bộ ví và tài sản của nhà giao dịch.
Đây không phải là loại spam liên kết lừa đảo thông thường. Đó là một cuộc tấn công theo kiểu chuỗi cung ứng, tận dụng các dấu trang trình duyệt—một phương thức mà hầu hết mọi người không nghĩ nhiều. Payload JavaScript có thể đã lấy được khoá riêng, cụm từ seed, hoặc token phiên trong thời gian thực.
Điều đáng sợ là? Nó không yêu cầu tương tác nào ngoài việc nhấp vào dấu trang. Không có hộp thoại phê duyệt MetaMask. Không có dấu hiệu cảnh báo rõ ràng nào.
Các nhà phát triển và nhà nghiên cứu bảo mật: chúng ta cần rõ ràng về cách các trang web bị xâm phạm này vẫn còn hoạt động và các biện pháp phòng thủ nào có hiệu quả ở đây. Xác thực dấu trang? Ghim DNS? Thực thi ví phần cứng?
Nếu bạn đang nắm giữ tài sản lớn, đã đến lúc kiểm tra lại các dấu trang của bạn và xem xét các giải pháp lưu trữ lạnh.
Xem bản gốc
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
14 thích
Phần thưởng
14
5
Đăng lại
Retweed
Bình luận
0/400
AirdropDreamer
· 10giờ trước
Chết rồi... 20 vạn chỉ trong chốc lát đã mất sạch? Bookmark còn có thể bị lừa đảo, chuyện này quá vô lý
Xem bản gốcTrả lời0
GateUser-4745f9ce
· 12-26 11:44
20w đã mất như vậy rồi sao? Việc nhỏ như bookmark lại có thể trở thành điểm yếu... Phải nhanh chóng kiểm tra lại tất cả thư mục yêu thích của mình thôi
Xem bản gốcTrả lời0
LiquidationWatcher
· 12-26 11:41
Chết rồi, dấu trang cũng có thể bị hack? 200.000 đã biến mất như vậy, thật là vô lý
Xem bản gốcTrả lời0
AirdropCollector
· 12-26 11:38
200.000 nhân dân tệ đã biến mất, và dấu trang có thể đào hố? Tôi cần dọn dẹp trình duyệt của mình...
---
Thủ thuật này tuyệt vời đến mức nó được làm cỏ trực tiếp mà không có cửa sổ bật lên, không có gì ngạc nhiên khi rất nhiều người đã được tuyển dụng
---
Vì vậy, bây giờ bạn thậm chí không thể tin tưởng dấu trang? Đó là một ví cứng, mọi người
---
Thứ javascript thực sự không thể bảo vệ được, vì vậy đừng chỉ lưu sàn giao dịch
---
Tôi chỉ muốn biết rằng trang web lừa đảo vẫn còn tồn tại, nền tảng này đang làm gì?
---
Đây là câu đố thực sự... Lần sau tôi phải sử dụng ví cứng, ví mềm thực sự quá nguy hiểm
---
Không có cuộc tấn công tương tác, nghe có vẻ đáng sợ và dấu trang của tôi có thể phải được xem xét lại
---
Bạn cảm thấy thế nào khi có những thủ thuật mới mỗi tháng, cộng đồng an toàn đang làm gì?
Xem bản gốcTrả lời0
BlockchainDecoder
· 12-26 11:22
Từ góc độ kỹ thuật, loại hình tấn công này thực sự đã phơi bày lỗ hổng bảo mật bị bỏ qua lâu dài của trình duyệt bookmark. Đáng chú ý là, theo dữ liệu từ báo cáo an ninh chuỗi năm 2023, hơn 60% các vụ mất trộm ví đều bắt nguồn từ các script độc hại "thực thi âm thầm" loại này, chứ không phải các liên kết lừa đảo truyền thống.
Khuyến nghị mọi người xem xét lại danh sách bookmark của mình, đặc biệt là các URL liên quan đến sàn giao dịch và ví — DNS pinning + xác thực hai yếu tố bằng ví phần cứng thực sự đã được chứng minh có thể chống lại loại tấn công này hiệu quả. Ví lạnh không phải là quỹ hưu trí, mà là lớp phòng thủ cần thiết.
Một nhà giao dịch vừa mất 200.000 đô la Mỹ do một cuộc tấn công lừa đảo tinh vi—và phương thức này gần như quá đơn giản.
Dưới đây là diễn biến vụ việc: nạn nhân đã đánh dấu trang web trông có vẻ hợp pháp. Nghe có vẻ vô hại, phải không? Sai rồi. Trang web đã bị xâm phạm. Khi nhấp vào, nó thực thi mã JavaScript độc hại trong nền, cho phép kẻ lừa đảo truy cập toàn bộ ví và tài sản của nhà giao dịch.
Đây không phải là loại spam liên kết lừa đảo thông thường. Đó là một cuộc tấn công theo kiểu chuỗi cung ứng, tận dụng các dấu trang trình duyệt—một phương thức mà hầu hết mọi người không nghĩ nhiều. Payload JavaScript có thể đã lấy được khoá riêng, cụm từ seed, hoặc token phiên trong thời gian thực.
Điều đáng sợ là? Nó không yêu cầu tương tác nào ngoài việc nhấp vào dấu trang. Không có hộp thoại phê duyệt MetaMask. Không có dấu hiệu cảnh báo rõ ràng nào.
Các nhà phát triển và nhà nghiên cứu bảo mật: chúng ta cần rõ ràng về cách các trang web bị xâm phạm này vẫn còn hoạt động và các biện pháp phòng thủ nào có hiệu quả ở đây. Xác thực dấu trang? Ghim DNS? Thực thi ví phần cứng?
Nếu bạn đang nắm giữ tài sản lớn, đã đến lúc kiểm tra lại các dấu trang của bạn và xem xét các giải pháp lưu trữ lạnh.