Ví Keplr bị xâm phạm bảo mật qua lỗ hổng Web3Auth
TREE NEWS đưa tin: Keplr, một ví phi lưu ký phổ biến cho hệ sinh thái Cosmos, đã gặp phải một sự cố bảo mật dẫn đến việc ít nhất 1 triệu USD tài sản kỹ thuật số bị đánh cắp. Vụ xâm phạm bắt nguồn từ một lỗ hổng trong Web3Auth, một nhà cung cấp dịch vụ đăng nhập xã hội bên thứ ba được Keplr sử dụng để tạo điều kiện tạo ví thông qua tài khoản Google và Apple. Theo công ty bảo mật blockchain GoPlus, lỗ hổng này cho phép kẻ tấn công xâm phạm khóa riêng tư hoặc khả năng ký giao dịch của một nhóm người dùng Keplr đã tạo ví bằng đăng nhập xã hội. Điều quan trọng là các ví được tạo bằng cụm từ hạt giống (seed phrase) hoặc ví phần cứng không bị ảnh hưởng.
Sự cố này làm nổi bật những rủi ro liên quan đến việc tích hợp đăng nhập xã hội trong lĩnh vực tiền mã hóa, vốn nhằm mục đích đơn giản hóa việc giới thiệu người dùng mới nhưng lại tạo ra thêm các vectơ tấn công. Web3Auth được sử dụng rộng rãi trên các ứng dụng Web3 để trừu tượng hóa việc quản lý cụm từ hạt giống, nhưng việc tập trung hóa quản lý khóa thông qua một dịch vụ bên thứ ba có thể tạo ra điểm lỗi đơn lẻ. Trong trường hợp này, lỗ hổng trong cơ sở hạ tầng của Web3Auth đã cho phép truy cập trái phép vào khóa người dùng, dẫn đến việc đánh cắp khoảng 1 triệu USD. Ngoài ra, khoảng 6 triệu USD tài sản đã được chuyển đến một địa chỉ cứu hộ chính thức được nhóm Keplr xác nhận, cho thấy một số quỹ đã được bảo vệ trước khi kẻ tấn công có thể rút cạn chúng.
Hàm ý cho ngành: Sự đánh đổi giữa tiện lợi và bảo mật
Vụ xâm phạm này nhấn mạnh một căng thẳng rộng lớn hơn trong ngành tiền mã hóa: việc thúc đẩy áp dụng đại chúng thường dẫn đến những thỏa hiệp về bảo mật. Đăng nhập xã hội và các giải pháp mang tính lưu ký hạ thấp rào cản gia nhập cho người dùng mới, nhưng chúng lại đưa vào rủi ro đối tác mà các ví phi tập trung được thiết kế để loại bỏ. Sự cố của Keplr là một bài học cảnh báo cho các dự án đang cân nhắc những tích hợp tương tự. Nó cũng đặt ra câu hỏi về việc thẩm định cần thiết khi dựa vào các nhà cung cấp cơ sở hạ tầng bên thứ ba. Mặc dù Web3Auth chưa công bố báo cáo phân tích chi tiết, sự kiện này có khả năng sẽ thúc đẩy việc đánh giá lại các thực tiễn bảo mật trên toàn bộ các nhà cung cấp ví.
Triển vọng tương lai: Tăng cường bảo mật ví
Hậu quả là, Keplr và Web3Auth được kỳ vọng sẽ tiến hành kiểm toán kỹ lưỡng và có khả năng đại tu quy trình quản lý khóa của họ. Người dùng được khuyến nghị chuyển sang ví dựa trên cụm từ hạt giống hoặc ví phần cứng để tăng cường bảo mật. Sự cố này có thể đẩy nhanh việc áp dụng trừu tượng hóa tài khoản và ví MPC (tính toán đa bên) cân bằng giữa khả năng sử dụng và bảo mật mạnh mẽ. Khi hệ sinh thái Cosmos tiếp tục phát triển, những sự cố như vậy làm nổi bật nhu cầu về giáo dục bảo mật liên tục và củng cố cơ sở hạ tầng. Sự giám sát của cơ quan quản lý cũng có thể gia tăng, khi các cơ quan chức năng chú ý hơn đến cách các nhà cung cấp ví bảo vệ tài sản của người dùng.
