Phân tích sự kiện tấn công Hacker lớn nhất trong lịch sử Web3

Vào ngày 21 tháng 2 năm 2025, ví lạnh Ethereum của một nền tảng giao dịch nổi tiếng đã bị tấn công an ninh nghiêm trọng. Kẻ tấn công đã sử dụng các phương pháp lừa đảo được thiết kế tinh vi để dụ dỗ người ký của ví đa chữ ký ký vào các giao dịch độc hại, dẫn đến việc khoảng 1,46 tỷ đô la tài sản tiền điện tử bị chuyển đến địa chỉ không xác định.

Xem lại quá trình tấn công

Các bước chính của kẻ tấn công như sau:

1. Triển khai trước các hợp đồng độc hại có cửa hậu chuyển tiền.
2. Thao túng giao diện ví đa chữ ký, khiến những người ký nhìn thấy thông tin giao dịch không nhất quán với dữ liệu thực tế được gửi đến ví phần cứng.
3. Thông qua giao diện giả mạo để lấy ba chữ ký hợp lệ, thay thế hợp đồng thực hiện ví đa chữ ký bằng phiên bản độc hại.
4. Kiểm soát ví lạnh và chuyển giao khối lượng tài sản lớn.

Khảo sát phát hiện

Công ty an ninh Sygnia, được ủy thác để tiến hành điều tra thu thập chứng cứ, đã phát hành báo cáo sơ bộ, với các phát hiện chính bao gồm:

• Đã phát hiện mã JavaScript độc hại bị tiêm vào trong thùng chứa AWS S3 được sử dụng trong ví đa chữ ký.
• Phân tích mã cho thấy mục đích chính của nó là can thiệp vào nội dung giao dịch trong quá trình ký.
• Mã độc có điều kiện kích hoạt cụ thể, chỉ có hiệu lực đối với địa chỉ hợp đồng nhất định.
• Ngay sau khi cuộc tấn công hoàn thành, phiên bản cập nhật của tài nguyên JavaScript đã được tải lên, xóa bỏ mã độc.
• Bằng chứng ban đầu chỉ ra rằng cuộc tấn công xuất phát từ cơ sở hạ tầng AWS của ví đa chữ ký.
• Hiện tại chưa phát hiện dấu hiệu cơ sở hạ tầng của nền tảng giao dịch bị xâm nhập.

Phân tích lỗ hổng bảo mật

Sự kiện này đã phơi bày nhiều vấn đề an ninh ở nhiều cấp độ:

1. An ninh lưu trữ đám mây: Gói lưu trữ AWS S3 bị sửa đổi, cho thấy có lỗ hổng trong kiểm soát truy cập dịch vụ đám mây.

2. Thiếu xác thực an ninh phía trước: Nếu giao diện ví đa chữ ký thực hiện xác thực toàn vẹn tài nguyên con (SRI) đầy đủ, ngay cả khi JavaScript bị thay đổi, vẫn có thể tránh được các cuộc tấn công như vậy.

3. Hạn chế của ví phần cứng: Khi xử lý các giao dịch phức tạp, ví phần cứng không thể phân tích và hiển thị đầy đủ dữ liệu giao dịch chi tiết của ví đa chữ ký, dẫn đến việc người ký "ký mù".

4. Tin tưởng quá mức vào giao diện phía trước: Nền tảng giao dịch quá tin tưởng vào giao diện ví đa chữ ký, bỏ qua việc xác thực lại nội dung giao dịch thực tế.

Lời khuyên an toàn

Để phòng ngừa các cuộc tấn công tương tự, có thể thực hiện các biện pháp sau:

1. Thực hiện xác minh chữ ký cấu trúc EIP-712:
   • Tạo dữ liệu có thể xác minh từ phía trước
   • Xác thực chữ ký hợp đồng thông minh, đảm bảo bất kỳ sự thay đổi nào của tham số cũng sẽ dẫn đến việc giao dịch tự động quay lại.

2. Nâng cấp firmware ví cứng, hỗ trợ phân tích ngữ nghĩa nâng cao:
   • Nâng cao khả năng phân tích các giao dịch phức tạp
   • Triển khai đối sánh ngữ nghĩa bắt buộc trên chuỗi

3. Tăng cường an ninh dịch vụ đám mây:

   • Quản lý chặt chẽ quyền truy cập vào các dịch vụ đám mây như AWS
   • Kiểm tra định kỳ và giám sát sự thay đổi của các tài nguyên quan trọng

4. Cơ chế xác thực đa yếu tố:

   • Giới thiệu xác thực đa phương trong các thao tác quan trọng
   • Sử dụng dữ liệu trên chuỗi và ngoài chuỗi để xác minh chéo nội dung giao dịch

5. Kiểm toán an ninh liên tục:

   • Thực hiện đánh giá an ninh toàn diện định kỳ
   • Sử dụng công cụ hỗ trợ AI tiên tiến để kiểm tra mã hợp đồng thông minh

Kết luận

Những thách thức về an ninh trong lĩnh vực Web3 ngày càng phức tạp, cần nâng cao khả năng bảo vệ từ nhiều khía cạnh như an ninh thiết bị, xác thực giao dịch đến cơ chế quản lý rủi ro. Các nhà phát triển front-end nên thực hiện xác thực nghiêm ngặt cho từng giai đoạn như truy cập DApp, kết nối ví, ký tin nhắn và ký giao dịch. Chỉ khi thiết lập được một tuyến phòng thủ toàn diện, chúng ta mới có thể thực sự bảo vệ giá trị và niềm tin của mỗi giao dịch trong thế giới Web3 mở.