CTO của BlueWallet chỉ ra 45 ví tiền mã hóa iOS vì rủi ro bảo mật nghiêm trọng
TREE NEWS đưa tin: Giám đốc Công nghệ (CTO) của BlueWallet đã hoàn tất một cuộc rà soát bảo mật toàn diện đối với các ví tiền mã hóa iOS trên App Store, và những phát hiện này gây khó chịu cho một ngành vốn yêu cầu người dùng tin tưởng giao phó những khóa không thể đảo ngược cho phần mềm. Cuộc kiểm tra đã sàng lọc 904 ứng dụng được dán nhãn là ví phi lưu ký (non-custodial), đào sâu vào 494 trong số đó, và cuối cùng gắn cờ 45 ứng dụng là có vấn đề bảo mật nghiêm trọng hoặc rủi ro cao. Hai mươi ba ứng dụng bị đánh dấu là có khả năng nghiêm trọng, trong khi 22 ứng dụng được xếp loại rủi ro cao.
Những dấu hiệu cảnh báo trông như thế nào
Các vấn đề được xác định trải rộng trên nhiều loại lỗi thiết kế ví:
- Cụm từ ghi nhớ (mnemonic) hoặc khóa riêng tư bị nghi ngờ tải lên khỏi thiết bị
- Tạo số ngẫu nhiên yếu được dùng để tạo ví
- Khóa được lưu trên máy chủ thay vì trên thiết bị của người dùng
- Khóa mã hóa được mã hóa cứng (hardcoded) nhúng trong ứng dụng
- JavaScript không được ký tải tại thời điểm chạy với quyền truy cập vào dữ liệu ví nhạy cảm
Mỗi điều trong số này là một điểm lỗi đơn lẻ tiềm tàng. Tính ngẫu nhiên yếu có thể khiến cụm từ seed trở nên dễ đoán. Việc lưu khóa phía máy chủ mâu thuẫn trực tiếp với nhãn phi lưu ký. Khóa mã hóa được mã hóa cứng nghĩa là mọi bản cài đặt đều chia sẻ cùng một bí mật. Và JavaScript từ xa không được ký trao cho kẻ tấn công một kênh trực tiếp vào dữ liệu nhạy cảm nhất của ví.
CTO cũng cảnh báo rằng phân tích có thể chứa dương tính giả, và nhấn mạnh rằng việc App Store phê duyệt cùng mức độ phổ biến của ứng dụng không phải là bằng chứng bảo mật. Lưu ý đó rất quan trọng: một ví có hàng triệu lượt tải vẫn có thể chứa lỗ hổng chết người, và quy trình duyệt của Apple không phải là một cuộc kiểm toán mật mã.
Vì sao điều này quan trọng với thị trường ví
Ví tự lưu ký là cửa ngõ vào tiền mã hóa. Khi nhiều người dùng chuyển tài sản lên chuỗi và khi việc token hóa tài sản thực (RWA) đẩy nhiều giá trị hơn vào ví, chi phí của một khóa bị xâm phạm ngày càng lớn. Cụm từ seed bị rò rỉ bởi một ứng dụng ví không phải là sự kiện có thể khôi phục——đó là mất mát vĩnh viễn số tiền.
Cuộc kiểm tra cũng làm nổi bật một vấn đề mang tính cấu trúc: App Store là kênh phân phối, không phải cơ quan chứng nhận bảo mật. Người dùng không có cách dễ dàng để phân biệt một ví đã được đánh giá độc lập với một ví chỉ đơn thuần vượt qua đợt duyệt ứng dụng chung chung. Sự bất cân xứng thông tin này có lợi cho các nhà phát triển độc hại hoặc cẩu thả.
Góc nhìn hướng tới tương lai
Hãy dự đoán áp lực sẽ gia tăng đòi hỏi các xếp hạng bảo mật ví của bên thứ ba, các bản dựng có thể tái lập (reproducible builds), và xác minh mã nguồn mở trở thành thực hành tiêu chuẩn. Các nhà sản xuất ví cứng và các ví phần mềm lâu đời có thể sẽ dựa vào tính minh bạch kiểm toán như một yếu tố khác biệt. Với người dùng, bài học thực tế rất rõ ràng: hãy kiểm tra nguồn ngẫu nhiên, xác minh liệu khóa có bao giờ rời khỏi thiết bị hay không, và ưu tiên những ví có mã công khai cùng các đánh giá độc lập. Huy hiệu trên App Store và số lượt tải là tín hiệu tiếp thị, không phải bảo đảm bảo mật.
