Revoke.cash chỉ ra lỗ hổng tự động thu hồi đối với người đăng ký Ultimate
TREE NEWS đưa tin: Revoke.cash đã đưa ra cảnh báo vận hành tới người đăng ký gói Ultimate, cảnh báo rằng tính năng bảo vệ Tự động thu hồi (Auto-Revoking) có thể âm thầm thất bại trừ khi hai điều kiện cụ thể được đáp ứng trong MetaMask. Khuyến cáo này được đưa ra sau sự cố bảo mật liên quan đến Magic Eden vào tuần trước, làm gia tăng lo ngại về các phê duyệt token còn tồn đọng trong ví người dùng.
Theo thông báo, người dùng trước tiên phải cấp quyền Tự động thu hồi cho ví liên quan trong MetaMask. Thứ hai, ví đó phải được nâng cấp lên tài khoản thông minh MetaMask trên mạng tương ứng. Mặc dù việc nâng cấp thường diễn ra tự động trong quá trình ủy quyền, nhưng nó có thể thất bại nếu địa chỉ đã được nâng cấp lên tài khoản thông minh trước đó thông qua một ứng dụng ví khác.
Tại sao xung đột tài khoản thông minh lại quan trọng
Tài khoản thông minh — được kích hoạt bởi trừu tượng hóa tài khoản ERC-4337 — mang lại logic có thể lập trình, khóa phiên và thực thi giao dịch tự động. Tự động thu hồi dựa vào khả năng lập trình này để định kỳ quét sạch các phê duyệt token rủi ro mà không cần người dùng can thiệp. Tuy nhiên, việc triển khai tài khoản thông minh là đặc thù theo mạng và không phải lúc nào cũng di động giữa các nhà cung cấp ví. Nếu một địa chỉ được nâng cấp lần đầu qua một ứng dụng khác, nỗ lực nâng cấp lại của MetaMask có thể bị đình trệ, khiến lớp tự động hóa không hoạt động trong khi người dùng tin rằng mình đang được bảo vệ.
Revoke.cash hướng dẫn người dùng bị ảnh hưởng truy cập mô-đun Tự động thu hồi trên trang tài khoản của họ và tìm các biểu tượng cảnh báo màu vàng trên mỗi mạng. Nếu cảnh báo xuất hiện, cách khắc phục là trước tiên khôi phục địa chỉ về tài khoản tiêu chuẩn trong ứng dụng ví khác, sau đó nâng cấp lại thành tài khoản thông minh MetaMask.
Hàm ý rộng hơn đối với việc vệ sinh phê duyệt
Sự việc này nhấn mạnh một điểm yếu dai dẳng trong bảo mật DeFi: phê duyệt token là bề mặt tấn công chính của các công cụ rút cạn ví, và người dùng thường đánh giá thấp số lượng quyền hạn đang ngủ đông mà họ nắm giữ. Các công cụ thu hồi tự động là một biện pháp giảm thiểu có ý nghĩa, nhưng chúng thêm một lớp phụ thuộc khác — cấu hình ví — có thể âm thầm thất bại.
- Người dùng nên xác minh trạng thái Tự động thu hồi theo từng mạng, không nên giả định phạm vi bao phủ toàn cầu.
- Mọi ví được bao gồm trong đăng ký phải được ủy quyền riêng lẻ.
- Tất cả các mạng được sử dụng tích cực phải được kích hoạt để giám sát hoạt động.
Triển vọng tương lai
Khi trừu tượng hóa tài khoản trưởng thành, dự kiến các nhà cung cấp ví sẽ hội tụ về các tiêu chuẩn tài khoản thông minh có thể tương tác, giảm bớt những xung đột này. Cho đến lúc đó, các kiểm tra vệ sinh sau sự cố như thế này sẽ vẫn là một phần quan trọng trong vòng đời bảo mật DeFi. Sự cố Magic Eden là lời nhắc nhở rằng bán kính ảnh hưởng của một vụ khai thác đơn lẻ vượt xa bản thân nền tảng, lan sang hệ sinh thái công cụ mà người dùng phụ thuộc để được bảo vệ.
