Holder PEPE mất 1,4 triệu đô la trong cuộc tấn công phishing Uniswap Permit2

Updated: 14/10/2024 at 19:50

Việc ký Uniswap Permit2, ban đầu được phát triển như một công cụ để đơn giản hóa quy trình phê duyệt token, đã trở thành một phương thức tấn công phổ biến trong hệ sinh thái DeFi.

Mới đây, một hodler token PEPE đã trở thành nạn nhân của một vụ lừa đảo phishing, mất 1,39 triệu đô la tiền điện tử sau khi vô tình ký vào một giao dịch Uniswap Permit2 độc hại. Theo công ty an ninh mạng ScamSniffer, các tài sản bị đánh cắp – bao gồm token Pepe (PEPE), Microstrategy (MSTR) và Apu (APU) – đã được chuyển đến một ví mới chỉ một giờ sau khi nạn nhân phê duyệt giao dịch.

Sự cố này là một phần trong chuỗi các cuộc tấn công nhắm vào lỗ hổng của các tính năng Permit và Permit2 của Uniswap, nhằm giảm thiểu ma sát trong các giao dịch tiền điện tử – cho phép kẻ tấn công làm rỗng ví của người dùng chỉ bằng một chữ ký duy nhất. ScamSniffer cho biết nạn nhân đã vô tình ký chữ ký Permit2 offchain, tạo điều kiện cho kẻ tấn công có quyền truy cập không giới hạn vào ví của họ. Chỉ trong vòng chưa đầy một giờ, kẻ lừa đảo đã nhanh chóng chuyển các token bị đánh cắp đến một địa chỉ mới, gây thiệt hại đáng kể cho nạn nhân.

Uniswap đã giới thiệu Permit2 vào năm 2022 nhằm cải thiện trải nghiệm người dùng bằng cách cho phép nhiều token được phê duyệt đồng thời, tiết kiệm phí gas. Tuy nhiên, sự tiện lợi này đã trở thành con dao hai lưỡi. Theo báo cáo của Gate.io, trong các cuộc tấn công phishing thông thường liên quan đến Permit2, kẻ lừa đảo thường dụ dỗ người dùng ký chữ ký offchain thông qua các trang web giả mạo hoặc giao diện ứng dụng phi tập trung (dApp) lừa đảo.

Chữ ký Permit2, mặc dù có vẻ vô hại, thực tế cho phép kẻ tấn công thực hiện hai hành động quan trọng – cho phép (Permit) và chuyển từ (Transfer From) – nhằm kiểm soát các token của nạn nhân. Sau khi giao dịch được ký, kẻ lừa đảo có thể nhanh chóng di chuyển các token đến địa chỉ của chúng mà không bị phát hiện ngay lập tức.

Quá trình phê duyệt offchain này làm cho các cuộc tấn công phishing Permit2 trở nên đặc biệt nguy hiểm, vì nó cho phép kẻ tấn công rút toàn bộ ví chỉ bằng một chữ ký. Theo mặc định, Permit2 cho phép truy cập vào toàn bộ số dư mã thông báo trừ khi người dùng tự đặt giới hạn – một bước mà nhiều người thường bỏ qua.

Mặc dù Uniswap chưa có phản hồi chính thức, cuộc tấn công này không phải là trường hợp cá biệt. Chỉ trong tháng này đã có hai sự cố khác liên quan đến Permit2, trong đó một nhà đầu tư mất 15.079 fwdETH (trị giá khoảng 36 triệu đô la) và một nạn nhân khác mất 2,47 triệu đô la Aave Ethereum sDAI trong các cuộc tấn công tương tự.

Để đối phó với các cuộc tấn công đang diễn ra, MetaMask được cho là đã cải thiện khả năng đọc chữ ký Permit và Permit2, giúp người dùng dễ dàng nhận diện các quyền mà họ đang cấp. 

Tham gia Telegram: https://t.me/tapchibitcoinvn

Theo dõi Twitter (X): https://twitter.com/tapchibtc_io

Theo dõi Tiktok: https://www.tiktok.com/@tapchibitcoin

Itadori

Theo Decrypt

  • Thẻ đính kèm:
  • uni
Được đề cập trong bài viết
Bình luận
Mới cập nhật

Tron (TRX) ghi nhận mức tăng gần 1% vào thời điểm viết bài hôm thứ Ba, tiếp tục củng cố xu hướng đi lên kéo dài từ giữa tháng 3 đến nay. Động lực tăng trưởng này được thúc đẩy bởi hệ sinh thái không ngừng mở rộng cùng với... ...

Ethereum và XRP đang trở thành tâm điểm chú ý của thị trường, khi tốc độ tăng trưởng giá của chúng trong 30 ngày qua vượt xa nhóm 10 đồng tiền điện tử hàng đầu. Động lực chính? Cá voi và tổ chức lớn đang âm thầm gom hàng, tạo ra... ...

Theo dữ liệu thị trường mới nhất, Litecoin đã tăng 13% trong 24 giờ qua, đạt mức 127 USD tại thời điểm viết bài. Đà tăng này đưa LTC trở thành một trong những altcoin vốn hóa lớn có hiệu suất tốt nhất trong tuần, với mức tăng hơn 13%... ...

Theo dữ liệu mới từ CryptoQuant, đợt sụt giảm của Bitcoin vào cuối tháng 7/2025 có thể được lý giải bởi ba yếu tố chính: sự sụp đổ của thanh khoản, nhu cầu ETF không ổn định và lực mua yếu từ các địa chỉ tích lũy thông minh. 1.... ...

MemeCore (M) đang nổi bật giữa làn sóng phục hồi mạnh mẽ của thị trường tiền điện tử, ghi nhận mức tăng bứt phá 25% chỉ trong 24 giờ qua. Theo sát đà tăng đó là Mantle (MNT) và Litecoin (LTC), với mức phục hồi lần lượt 16% và 10%.... ...

Tổng thống Donald Trump đang chuẩn bị ký một sắc lệnh hành pháp ngay trong tuần này nhằm bảo vệ các công ty crypto và tổ chức bảo thủ khỏi các hành vi được cho là phân biệt đối xử trong lĩnh vực ngân hàng. Theo nguồn tin từ Wall... ...

Tính đến chiều thứ Ba, giá Solana (SOL) đang dao động quanh mốc $168, ghi nhận mức phục hồi gần 7% chỉ trong vòng hai ngày. Đà tăng này được tiếp thêm động lực nhờ thông tin vào hôm thứ Hai rằng Solana đã chính thức bắt đầu vận chuyển... ...

Công ty đầu tư Bitcoin do Michael Saylor sáng lập đã tăng tốc gom hàng loạt Bitcoin kể từ sau chiến thắng vang dội của Donald Trump trong cuộc bầu cử liên bang tháng 11 năm ngoái. Theo tiết lộ mới nhất, Strategy đã tích lũy tổng cộng 376.571 BTC,... ...

Quy trình xác minh trên tất cả các hệ thống của Pi Network từ lâu đã là một chủ đề gây tranh cãi trong cộng đồng, khi có vô số người dùng từng phàn nàn họ không thể nhận được “đèn xanh” cần thiết, mặc dù team đã không ngừng... ...

Các quỹ ETF Ethereum giao ngay tại Mỹ đã ghi nhận dòng tiền rút ròng lên đến 152,3 triệu USD trong ngày 1/8, chính thức khép lại chuỗi 20 ngày hút vốn liên tiếp – chuỗi dài nhất trong lịch sử của sản phẩm này. Theo dữ liệu từ Farside... ...

Xem thêm bài viết

Chọn chế độ hiển thị:
Bình thường Bảo vệ mắt Dark Mode