Trang chủ Tạp chí MetaMask biết có lỗ hổng bảo mật nghiêm trọng nhưng vẫn chưa...

MetaMask biết có lỗ hổng bảo mật nghiêm trọng nhưng vẫn chưa vá sau một tháng

Theo Alexandru Lupascu, người dùng MetaMask truy cập ứng dụng trên thiết bị di động có nguy cơ bị lộ địa chỉ IP.

MetaMask

Ứng dụng di động MetaMask không bảo đảm quyền riêng tư cho người dùng

Một nhà mật mã đã cảnh báo người dùng MetaMask có thể gặp rủi ro về quyền riêng tư.

Alexandru Lupascu, đồng sáng lập dịch vụ node quyền riêng tư OMNIA Protocol, đã tìm thấy một lỗ hổng nghiêm trọng trong ví Web3 phổ biến của ConsenSys. Thông qua lỗ hổng này, hacker có thể truy cập địa chỉ IP của người dùng, do đó gây ra rủi ro về quyền riêng tư. Địa chỉ IP là số nhận dạng toàn cầu duy nhất được chỉ định cho một thiết bị kết nối với web. Khi người dùng lưu trữ tiền điện tử trên ví MetaMask, lỗ hổng địa chỉ IP là mối lo ngại lớn.

Lupascu đã đăng tải một bài đăng trên blog giải thích lỗ hổng có thể bị khai thác bằng cách đúc và airdrop một bộ sưu tập NFT tới địa chỉ Ethereum kết nối MetaMask sử dụng trên điện thoại di động.

NFT là tài sản kỹ thuật số biểu thị quyền sở hữu nội dung như nghệ thuật, âm nhạc và meme kỹ thuật số. Chúng cung cấp một phương thức để token hóa nội dung nhưng thường không lưu trữ nội dung thực tế. Vì việc lưu trữ dữ liệu hình ảnh trên một blockchain như Ethereum có thể tốn kém nên các NFT chứa Uniform Resource Locators (URL) chỉ đến dữ liệu. Nội dung cho NFT thường được lưu trữ trên mạng lưu trữ phi tập trung như IPFS hoặc trên các máy chủ đám mây tập trung từ xa.

Theo mặc định, ứng dụng MetaMask dành cho thiết bị di động hiển thị các NFT được lưu trữ trong một địa chỉ sử dụng lệnh hàm URL tới dữ liệu hình ảnh. Dữ liệu này lưu trữ trên các máy chủ từ xa. Quá trình được thực hiện mà không cần có sự đồng ý của người dùng để hiển thị những NFT nào chứa trong ví Ethereum của họ.

Trong quá trình tìm nạp này, tất cả các cổng máy chủ xử lý việc truyền dữ liệu hình ảnh sẽ nhận được thông tin IP của người dùng. Nói chung, các dự án vận hành máy chủ cho dữ liệu hình ảnh bảo đảm dữ liệu được an toàn.

Trong cuộc điều tra của mình, Lupascu xác định các thực thể độc hại có thể tìm thấy dữ liệu IP của người dùng MetaMask và khai thác thông tin để thực hiện các cuộc tấn công có chủ đích. Trong bài đăng trên blog của mình, Lupascu giải thích:

“Nếu kẻ độc hại biết địa chỉ blockchain của bạn, hắn ta có thể tạo ra một NFT có URL chỉ đến máy chủ của chính mình và chuyển quyền sở hữu NFT đến địa chỉ của bạn. Do đó, khi ví tiền điện tử của bạn tìm nạp hình ảnh từ xa từ máy chủ, nó sẽ xâm phạm quyền riêng tư của bạn”.

Lupascu đã kiểm tra lỗ hổng bằng cách tạo một NFT trên OpenSea dựa trên tiêu chuẩn ERC-1155. Sau đó, anh sử dụng một trình soạn thảo hợp đồng thông minh để thay đổi URL ban đầu được liên kết với NFT trỏ đến một máy chủ mới dưới sự kiểm soát của anh. Lupascu đã gửi NFT đến một địa chỉ Ethereum. Khi anh truy cập địa chỉ thông qua ứng dụng di động MetaMask, địa chỉ IP của anh xuất hiện trong máy chủ mà anh kiểm soát. Lupascu cho biết chi phí khoảng 50 đô la để thực hiện vụ tấn công.

Lupascu đã thông báo vấn đề này cho team MetaMask vào giữa tháng 12/2021, có nghĩa là ví Web3 đã biết trong ít nhất một tháng. Nhóm MetaMask hứa sẽ phát hành một bản vá vào quý 2/2022 – khung thời gian mà Lupascu coi là “không thể chấp nhận được” với mức độ nghiêm trọng của vấn đề.

Nhà sáng lập MetaMask, Daniel Finlay, thừa nhận trong một phản hồi trên tweet với Lupascu rằng “vấn đề đã được biết đến trong một thời gian dài”.

“Alex có lý khi phàn nàn chúng tôi vì không giải quyết sớm hơn. Bắt đầu vá nó ngay bây giờ. Cảm ơn vì lời chỉ trích và chúng tôi cần nó”.

Finlay cũng đã đề xuất ví có thể “chỉ tải các liên kết loại IPFS theo mặc định”. Hơn nữa, người dùng MetaMask sẽ phải đồng ý rõ ràng để tìm nạp dữ liệu NFT được lưu trữ trên các máy chủ của bên thứ ba.

Trong khi đó, Lupascu nghĩ rằng người dùng Ethereum nên cảnh giác nếu họ nhận được các NFT airdrop và chỉ nên truy cập chúng thông qua OpenSea.

“Cho đến khi vấn đề này được khắc phục trên ứng dụng di động, hãy sử dụng nền tảng OpenSea với bất kỳ ví nào tương thích với Web3 để truy cập bộ sưu tập của bạn. Một lời nhắc nhở cho mọi người rằng quyền riêng tư off-chain thực sự quan trọng — đừng bỏ qua nó”.

Vào những tháng gần đây, các nhà sưu tầm NFT đã mất hàng triệu đô la tài sản kỹ thuật số do các cuộc tấn công, hack và lừa đảo. Nhiều người dùng bị ảnh hưởng đã lưu trữ NFT có giá trị thuộc Bored Ape Yacht Club và các bộ sưu tập được ưa chuộng khác trên ví MetaMask và bị tấn công, lừa đảo. Vì MetaMask là ví nóng nên kẻ trộm có thể rút tiền tương đối dễ dàng sau khi có khóa riêng tư của người dùng. Vì khóa riêng tư cho ví nóng có thể bị xâm phạm thông qua các cuộc tấn công lừa đảo và phần mềm độc hại nên chúng bị coi là kém an toàn hơn so với các tùy chọn lưu trữ lạnh như ví phần cứng yêu cầu truy cập vào thiết bị vật lý để truy cập tiền.

MetaMask là ví Web3 phổ biến nhất để truy cập Ethereum và các mạng blockchain khác tương thích với EVM. Ví có hơn 21 triệu người dùng hoạt động hàng tháng tính đến tháng 11/2021, theo thông cáo báo chí của ConsenSys.

Tham gia Telegram của Tạp Chí Bitcoin để theo dõi tin tức và bình luận về bài viết này: https://t.me/tapchibitcoinvn

Đình Đình

Theo Crypto Briefing

MỚI CẬP NHẬT

Trader xuất sắc nhất từ trước đến nay? Từ 16 USD lên 3 triệu...

Đây là một câu chuyện thành công đáng mơ ước của bất kỳ nhà đầu tư crypto nào. Chỉ với 16,2 USD, một trader "thánh...
Donal Trump cân nhắc việc bổ nhiệm chủ tịch CFTC thân thiện với tiền điện tử

Donal Trump cân nhắc bổ nhiệm chủ tịch CFTC mới thân thiện với tiền...

Reuters báo cáo rằng đội ngũ chuyển giao của Tổng thống đắc cử Donald Trump đang xem xét các ứng viên, bao gồm cả...

Tether ra mắt Hadron giữa cơn sốt token hóa tài sản thực trị giá...

Tether, nhà phát hành stablecoin lớn nhất thị trường, vừa giới thiệu Hadron, nền tảng token hóa tài sản kỹ thuật số và tài sản...

3 lý do vì sao giá Solana sắp chạm mức cao kỷ lục mới

Giá của Solana (SOL) đã tăng 13% trong bảy ngày qua, giao dịch ở mức $210 vào ngày hôm nay (15/11). Theo dữ liệu từ...
pepe-tang-gia

PEPE tăng 78% lên mức ATH mới khi vốn hóa thị trường memecoin đạt...

Pepe (PEPE), đồng memecoin lớn nhất trên Ethereum theo vốn hóa thị trường, đang trên đà phục hồi kể từ ngày 5 tháng 11....

Giá Coin hôm nay 15/11: Bitcoin trở về quanh $88.000, altcoin và Phố Wall...

Bitcoin đã giảm hơn 3% vào ngày 14 tháng 11 với việc đà tăng trưởng sau bầu cử dường như chững lại. Chứng khoán Mỹ Hợp...

Giám đốc Vaneck đặt mục tiêu Bitcoin ở mức 180.000 USD

Matthew Sigel, giám đốc nghiên cứu tài sản kỹ thuật số tại Vaneck, dự báo một sự tăng trưởng đáng kể cho Bitcoin, với...

Tiểu bang Hoa Kỳ này giới thiệu dự thảo luật dự trữ chiến lược...

Các nhà lập pháp tiểu bang Pennsylvania, Hoa Kỳ đã giới thiệu "Đạo luật dự trữ chiến lược Bitcoin" - một dự thảo cho...

Những bình luận diều hâu của Chủ tịch Fed Hoa Kỳ dội gáo nước...

Dù không phải là một sự thay đổi đột ngột, nhưng thị trường crypto đã chứng kiến sự điều chỉnh nhẹ vào cuối ngày...

Arkham ra mắt chương trình điểm thưởng và có thể được chuyển đổi thành...

Vào ngày 14 tháng 11, Arkham Intelligence, một công ty phân tích blockchain, đã công bố ra mắt chương trình điểm thưởng (point) nhằm...

18 tiểu bang Hoa Kỳ đệ đơn kiện SEC và Gary Gensler

18 tiểu bang của Hoa Kỳ đã đệ đơn kiện Ủy ban Chứng khoán và Giao dịch (SEC) cùng Chủ tịch Gary Gensler, cáo...

Peanut the Squirrel (PNUT) là gì? Memecoin nhảy theo giai điệu của Elon Musk

Chỉ mới ra mắt khoảng đầu tháng 11, memecoin Peanut the Squirrel (PNUT) trên nền tảng Solana đã ghi nhận mức tăng trưởng mạnh...

Trump có thể gỡ bỏ rào cản để Circle và Kraken niêm yết công...

"Chính quyền mới dường như đang chuẩn bị mang lại sự rõ ràng rất cần thiết cho việc quản lý tài sản kỹ thuật...

Vốn hóa thị trường crypto đạt mức kỷ lục mới khi tài sản trong...

Tổng vốn hóa thị trường của tất cả các tài sản crypto đã đạt mức kỷ lục mới là 3,14 nghìn tỷ USD. Đợt...

Chủ tịch Gensler thúc giục tiền điện tử tuân thủ các quy tắc khi...

Chủ tịch Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC), Gary Gensler, một lần nữa kêu gọi các sàn giao dịch crypto...
Ethereum

Chiến lược mô-đun của Ethereum: Giảm giá ngắn hạn, tăng giá dài hạn

Theo nghiên cứu mới, kiến trúc mô-đun của Ethereum không tốt cho hiệu suất giá token ngắn hạn nhưng mang lại khả năng phục...