Tấn công đầu độc địa chỉ rút 305K USD DAI từ người dùng tiền mã hóa
TREE NEWS đưa tin: Theo giám sát on-chain của GoPlus Security, một người dùng tiền mã hóa đã mất khoảng 305.000 DAI trong một cuộc tấn công đầu độc địa chỉ (address poisoning). Kẻ tấn công thực hiện vụ trộm bằng cách trước tiên gửi một lượng nhỏ token đến ví của nạn nhân từ một địa chỉ có ký tự đầu và cuối gần giống với một địa chỉ hợp pháp mà nạn nhân thường xuyên tương tác. Nạn nhân, có khả năng đã sao chép địa chỉ từ lịch sử giao dịch của mình, đã vô tình gửi tiền đến địa chỉ giả mạo của kẻ tấn công.
Cách thức hoạt động của đầu độc địa chỉ
Đầu độc địa chỉ khai thác xu hướng con người dựa vào các dấu hiệu thị giác khi xác minh các địa chỉ ví thập lục phân dài. Kẻ tấn công tạo ra các địa chỉ vanity có cùng ký tự đầu và cuối với đối tác giao dịch thường xuyên của mục tiêu. Sau đó, chúng gửi các giao dịch giá trị bằng không hoặc bụi (dust) đến nạn nhân, làm ô nhiễm lịch sử giao dịch của họ. Khi nạn nhân sau đó sao chép một địa chỉ từ lịch sử đó, họ có thể vô tình chọn địa chỉ của kẻ tấn công.
Vector tấn công này ngày càng phổ biến khi người dùng DeFi tương tác với nhiều giao thức và ví. Không giống như các vụ khai thác hợp đồng thông minh, đầu độc địa chỉ không yêu cầu lỗ hổng trong bất kỳ giao thức nào—nó chỉ nhắm vào hành vi của người dùng.
Hàm ý cho ngành
Sự cố này nhấn mạnh một lỗ hổng nghiêm trọng trong bảo mật tiền mã hóa: trong khi các giao thức trải qua các cuộc kiểm toán nghiêm ngặt, bảo mật vận hành của người dùng cuối vẫn là mắt xích yếu. Giao diện ví thường cắt ngắn địa chỉ, khiến việc xác minh toàn bộ chuỗi trở nên khó khăn. Một số ví đã giới thiệu các tính năng như sổ địa chỉ và tên miền ENS để giảm thiểu rủi ro này, nhưng mức độ áp dụng không đồng đều.
- UX ví: Cần có các công cụ xác minh địa chỉ cải tiến, chẳng hạn như hiển thị toàn bộ địa chỉ và mã hóa màu.
- Giáo dục người dùng: Người dùng phải xác minh toàn bộ địa chỉ, không chỉ tiền tố và hậu tố.
- Giám sát on-chain: Các dịch vụ như GoPlus Security rất quan trọng để phát hiện và cảnh báo về các giao dịch đáng ngờ.
Góc nhìn hướng tới tương lai
Khi việc áp dụng tiền mã hóa phát triển, đầu độc địa chỉ có khả năng sẽ tiếp tục tồn tại như một cuộc tấn công chi phí thấp, lợi nhuận cao. Tuy nhiên, các giải pháp mới nổi—bao gồm trừu tượng hóa tài khoản, ví khôi phục xã hội và hệ thống danh tiếng on-chain—có thể làm giảm hiệu quả của nó. Cho đến lúc đó, người dùng phải luôn cảnh giác, và các nhà phát triển ví nên ưu tiên các tính năng bảo mật giúp chống lại việc giả mạo thị giác. Khoản lỗ 305K USD DAI là lời nhắc nhở đắt giá rằng trong DeFi, việc xác minh toàn bộ địa chỉ không phải là tùy chọn—mà là điều thiết yếu.
