Một vụ tấn công trị giá 440.000 USD tiết lộ điều gì về mối đe dọa ngày càng tăng của các trò lừa đảo “ủy quyền” trên Ethereum

Nguồn: PortaldoBitcoin Tiêu đề gốc: Một cuộc tấn công trị giá 440.000 USD tiết lộ về mối đe dọa ngày càng tăng của các vụ lừa đảo “cho phép” trên Ethereum Liên kết gốc: Một hacker đã đánh cắp hơn 440.000 USD bằng USDC sau khi chủ sở hữu một ví đã ký, mà không biết, một chữ ký độc hại về “cho phép”.

Vụ trộm xảy ra trong bối cảnh tăng các tổn thất do lừa đảo qua phishing. Khoảng 7,77 triệu USD đã bị mất của hơn 6.000 nạn nhân vào tháng 11, tăng 137% tổng thiệt hại so với tháng 10, mặc dù số lượng nạn nhân giảm 42%.

“Cuộc săn cá mập đã trở nên dữ dội hơn, với thiệt hại tối đa là 1,22 triệu USD (chữ ký cho phép). Mặc dù số lượng các cuộc tấn công giảm, nhưng thiệt hại của từng vụ đã tăng đáng kể”.

Các vụ lừa đảo dựa trên cho phép là gì?

Các trò lừa đảo dựa trên cho phép bao gồm việc lừa người dùng ký một giao dịch trông có vẻ hợp pháp, nhưng thực chất, điều này cấp quyền cho kẻ tấn công chi tiêu các token của họ. Các ứng dụng phi tập trung (dapps) độc hại có thể làm giả các trường, giả mạo tên hợp đồng hoặc trình bày yêu cầu ký như một hoạt động thông thường.

Nếu người dùng không kiểm tra kỹ các chi tiết, việc ký yêu cầu sẽ cấp quyền cho kẻ tấn công truy cập tất cả các token ERC-20 của người dùng. Sau khi quyền được cấp, các hacker thường rút hết tiền ngay lập tức.

Phương pháp này khai thác chức năng quyền của Ethereum, được thiết kế để tạo điều kiện cho các giao dịch chuyển token, cho phép người dùng ủy quyền quyền chi tiêu cho các ứng dụng đáng tin cậy. Sự tiện lợi này trở thành một lỗ hổng khi các quyền này bị cấp cho kẻ tấn công.

“Điều đặc biệt phức tạp trong loại tấn công này là kẻ tấn công có thể thực hiện cả phép cấp quyền và chuyển token trong một giao dịch (một cách tiếp cận ‘đập rồi lấy’) hoặc có thể truy cập thông qua quyền và sau đó nằm bất động, chờ đợi để chuyển các khoản tiền được thêm vào sau đó (miễn là họ đặt thời hạn truy cập đủ dài trong siêu dữ liệu của chức năng cấp quyền).”

“Thành công của loại lừa đảo này phụ thuộc vào việc bạn ký một thứ gì đó mà không hiểu rõ chuyện sẽ xảy ra. Tất cả đều liên quan đến sự dễ bị tổn thương của con người và việc lợi dụng sự ngây thơ của mọi người.”

Có nhiều ví dụ về các vụ lừa đảo phishing có giá trị và khối lượng lớn, được tạo ra để đánh lừa người dùng và khiến họ ký những thứ họ không hiểu hết. Thường thì, các trò lừa đảo này được ngụy trang thành các chương trình phát tiền miễn phí, các trang đích giả của dự án để liên kết ví của bạn hoặc các cảnh báo an ninh giả mạo.

Cách tự bảo vệ

Các nhà cung cấp ví kỹ thuật số đã triển khai nhiều chức năng bảo vệ hơn. MetaMask, ví dụ, cảnh báo người dùng nếu một trang web trông đáng ngờ và cố gắng dịch dữ liệu giao dịch sang ngôn ngữ dễ hiểu cho con người. Các ví khác cũng làm nổi bật các hành động có rủi ro cao. Nhưng các hacker vẫn tiếp tục thích nghi.

Khuyên người dùng kiểm tra địa chỉ của người gửi và chi tiết hợp đồng. “Đây là cách rõ ràng nhất để biết liệu giao thức có phù hợp với mục đích thực sự của quỹ hay không, vì có thể ai đó đang cố gắng đánh cắp chúng. Bạn có thể kiểm tra số tiền; nhiều khi, họ cố gắng cấp quyền vô hạn.”

Việc giám sát vẫn là phương pháp bảo vệ tốt nhất của người dùng. “Cách tốt nhất để tự bảo vệ khỏi các trò lừa đảo kiểu ‘permit’ là đảm bảo rằng bạn biết rõ những gì mình đang ký. Các hành động nào sẽ thực sự được thực hiện trong giao dịch? Các chức năng nào đang được sử dụng? Chúng có phù hợp với những gì bạn nghĩ mình đang ký không?”

“Nhiều ví và ứng dụng phi tập trung đã nâng cao giao diện người dùng để đảm bảo bạn không ký một cách mù quáng và có thể xem kết quả, ngoài ra còn hiển thị cảnh báo về các chức năng rủi ro cao. Tuy nhiên, người dùng cần chủ động kiểm tra những gì họ đang ký và không chỉ kết nối ví rồi nhấn ký.”

Một khi bị đánh cắp, khả năng khôi phục quỹ là rất thấp. Trong các cuộc tấn công phishing, bạn đang đối mặt với cá nhân chỉ mục đích là đánh cắp quỹ của bạn. Không có đàm phán, không có điểm liên hệ và thường không có ý tưởng về phía bên kia.

“Những kẻ tấn công này chơi với các con số. Một khi tiền đã đi, thì mãi mãi mất. Việc phục hồi gần như không thể.”