Bản Cập Nhật Đã Rút Cạn Ví

Chính Xác Điều Gì Đã Xảy Ra Trong Sự Cố Trust Wallet

Bước 1: Bản Cập Nhật Tiện Ích Mở Rộng Trình Duyệt Mới Được Phát Hành

Bản cập nhật mới cho tiện ích mở rộng trình duyệt Trust Wallet được phát hành vào ngày 24 tháng 12.

• Bản cập nhật có vẻ như là thông thường.

• Không có cảnh báo bảo mật lớn nào đi kèm với nó.

• Người dùng đã cài đặt nó thông qua quy trình cập nhật thông thường.

Tại thời điểm này, không có gì có vẻ đáng ngờ.

Bước 2: Mã Mới Được Thêm Vào Tiện Ích Mở Rộng

Sau bản cập nhật, các nhà nghiên cứu xem xét các tệp của tiện ích mở rộng đã nhận thấy các thay đổi trong tệp JavaScript được gọi là 4482.js.

Quan sát chính:

Điều này quan trọng vì ví trình duyệt là môi trường rất nhạy cảm; bất kỳ logic gửi đi mới nào đều gây ra rủi ro cao.

Bước 3: Mã Nguỵ Trang Như "Phân Tích"

Logic được thêm vào xuất hiện như mã phân tích hoặc thu thập dữ liệu từ xa.

Cụ thể:

• Nó trông giống như logic theo dõi được sử dụng bởi các SDK phân tích phổ biến.

• Nó không kích hoạt mọi lúc.

• Nó chỉ kích hoạt trong một số điều kiện nhất định.

Thiết kế này khiến việc phát hiện khó khăn hơn trong quá trình kiểm tra thông thường.

Bước 4: Điều Kiện Kích Hoạt — Nhập Cụm Từ Khoá

Kỹ thuật đảo ngược của cộng đồng cho thấy logic được kích hoạt khi người dùng nhập cụm từ khoá vào tiện ích mở rộng.

Tại sao điều này quan trọng:

• Nhập cụm từ khoá cung cấp cho ví toàn quyền kiểm soát.

• Đây là khoảnh khắc một lần, có giá trị cao.

• Bất kỳ mã độc hại nào chỉ cần hoạt động một lần.

Người dùng chỉ sử dụng ví hiện có có thể không kích hoạt đường dẫn này.

Bước 5: Dữ Liệu Ví Được Gửi Ra Bên Ngoài

Khi điều kiện kích hoạt xảy ra, mã được cho là đã gửi dữ liệu đến một điểm cuối bên ngoài:

metrics-trustwallet[.]com

Điều gì đã gây báo động:

• Tên miền trông rất giống một tên miền phụ hợp pháp của Trust Wallet.

• Nó chỉ được đăng ký vài ngày trước đó.

• Nó không được ghi chép công khai.

• Sau đó nó đã ngoại tuyến.

Ít nhất, điều này xác nhận giao tiếp gửi đi không mong đợi từ tiện ích mở rộng ví.

Bước 6: Kẻ Tấn Công Hành Động Ngay Lập Tức

Ngay sau khi nhập cụm từ khoá, người dùng báo cáo:

• Ví bị rút cạn trong vòng vài phút.

• Nhiều tài sản được di chuyển nhanh chóng.

• Không cần tương tác thêm từ người dùng.

Hành vi trên chuỗi cho thấy:

• Các mẫu giao dịch tự động.

• Nhiều địa chỉ đích.

• Không có luồng phê duyệt lừa đảo rõ ràng.

Điều này cho thấy kẻ tấn công đã có đủ quyền truy cập để ký các giao dịch.

Bước 7: Quỹ Được Hợp Nhất Qua Các Địa Chỉ

Tài sản bị đánh cắp được định tuyến qua một số ví do kẻ tấn công kiểm soát.

Tại sao điều này quan trọng:

• Nó cho thấy sự phối hợp hoặc kịch bản.

• Nó giảm sự phụ thuộc vào một địa chỉ duy nhất.

• Nó phù hợp với hành vi được thấy trong các cuộc khai thác có tổ chức.

Ước tính dựa trên các địa chỉ được theo dõi cho thấy hàng triệu đô la đã được di chuyển, mặc dù tổng số khác nhau.

Bước 8: Tên Miền Biến Mất

Sau khi sự chú ý tăng lên:

• Tên miền đáng ngờ ngừng phản hồi.

• Không có giải thích công khai theo sau ngay lập tức.

• Ảnh chụp màn hình và bằng chứng đã lưu trở nên quan trọng.

Điều này phù hợp với việc kẻ tấn công phá hủy cơ sở hạ tầng một khi bị phơi bày.

Bước 9: Thừa Nhận Chính Thức Đến Sau

Trust Wallet sau đó xác nhận:

• Một sự cố bảo mật đã ảnh hưởng đến một phiên bản cụ thể của tiện ích mở rộng trình duyệt.

• Người dùng di động không bị ảnh hưởng.

• Người dùng nên nâng cấp hoặc tắt tiện ích mở rộng.

Tuy nhiên, không có phân tích kỹ thuật đầy đủ được đưa ra ngay lập tức để giải thích:

• Tại sao tên miền tồn tại.

• Liệu cụm từ khoá có bị lộ hay không.

• Liệu đây là vấn đề nội bộ, bên thứ ba hay bên ngoài.

Khoảng trống này đã thúc đẩy suy đoán đang diễn ra.

Những Gì Được Xác Nhận

• Bản cập nhật tiện ích mở rộng trình duyệt đã giới thiệu hành vi gửi đi mới.

• Người dùng mất tiền ngay sau khi nhập cụm từ khoá.

• Sự cố được giới hạn ở một phiên bản cụ thể.

• Trust Wallet đã thừa nhận vấn đề bảo mật.

Những Gì Bị Nghi Ngờ Mạnh Mẽ

• Vấn đề chuỗi cung ứng hoặc tiêm mã độc hại.

• Cụm từ khoá hoặc khả năng ký bị lộ.

• Logic phân tích bị lạm dụng hoặc vũ khí hóa.

Những Gì Vẫn Chưa Rõ

• Liệu mã có cố ý độc hại hay bị xâm nhập từ nguồn gốc.

• Có bao nhiêu người dùng bị ảnh hưởng.

• Liệu có dữ liệu nào khác được lấy đi hay không.

• Quy kết chính xác của kẻ tấn công.

Tại Sao Sự Cố Này Quan Trọng

Đây không phải là lừa đảo điển hình.

Nó làm nổi bật:

• Sự nguy hiểm của tiện ích mở rộng trình duyệt.

• Rủi ro khi tin tưởng mù quáng vào các bản cập nhật.

• Cách mã phân tích có thể bị lạm dụng.

• Tại sao xử lý cụm từ khoá là khoảnh khắc quan trọng nhất trong bảo mật ví.

Ngay cả một lỗ hổng tồn tại trong thời gian ngắn cũng có thể có hậu quả nghiêm trọng.