MetaMask biết có lỗ hổng bảo mật nghiêm trọng nhưng vẫn chưa vá sau một tháng

Updated: 22/01/2022 at 16:02

Theo Alexandru Lupascu, người dùng MetaMask truy cập ứng dụng trên thiết bị di động có nguy cơ bị lộ địa chỉ IP.

MetaMask

Ứng dụng di động MetaMask không bảo đảm quyền riêng tư cho người dùng

Một nhà mật mã đã cảnh báo người dùng MetaMask có thể gặp rủi ro về quyền riêng tư.

Alexandru Lupascu, đồng sáng lập dịch vụ node quyền riêng tư OMNIA Protocol, đã tìm thấy một lỗ hổng nghiêm trọng trong ví Web3 phổ biến của ConsenSys. Thông qua lỗ hổng này, hacker có thể truy cập địa chỉ IP của người dùng, do đó gây ra rủi ro về quyền riêng tư. Địa chỉ IP là số nhận dạng toàn cầu duy nhất được chỉ định cho một thiết bị kết nối với web. Khi người dùng lưu trữ tiền điện tử trên ví MetaMask, lỗ hổng địa chỉ IP là mối lo ngại lớn.

Lupascu đã đăng tải một bài đăng trên blog giải thích lỗ hổng có thể bị khai thác bằng cách đúc và airdrop một bộ sưu tập NFT tới địa chỉ Ethereum kết nối MetaMask sử dụng trên điện thoại di động.

NFT là tài sản kỹ thuật số biểu thị quyền sở hữu nội dung như nghệ thuật, âm nhạc và meme kỹ thuật số. Chúng cung cấp một phương thức để token hóa nội dung nhưng thường không lưu trữ nội dung thực tế. Vì việc lưu trữ dữ liệu hình ảnh trên một blockchain như Ethereum có thể tốn kém nên các NFT chứa Uniform Resource Locators (URL) chỉ đến dữ liệu. Nội dung cho NFT thường được lưu trữ trên mạng lưu trữ phi tập trung như IPFS hoặc trên các máy chủ đám mây tập trung từ xa.

Theo mặc định, ứng dụng MetaMask dành cho thiết bị di động hiển thị các NFT được lưu trữ trong một địa chỉ sử dụng lệnh hàm URL tới dữ liệu hình ảnh. Dữ liệu này lưu trữ trên các máy chủ từ xa. Quá trình được thực hiện mà không cần có sự đồng ý của người dùng để hiển thị những NFT nào chứa trong ví Ethereum của họ.

Trong quá trình tìm nạp này, tất cả các cổng máy chủ xử lý việc truyền dữ liệu hình ảnh sẽ nhận được thông tin IP của người dùng. Nói chung, các dự án vận hành máy chủ cho dữ liệu hình ảnh bảo đảm dữ liệu được an toàn.

Trong cuộc điều tra của mình, Lupascu xác định các thực thể độc hại có thể tìm thấy dữ liệu IP của người dùng MetaMask và khai thác thông tin để thực hiện các cuộc tấn công có chủ đích. Trong bài đăng trên blog của mình, Lupascu giải thích:

“Nếu kẻ độc hại biết địa chỉ blockchain của bạn, hắn ta có thể tạo ra một NFT có URL chỉ đến máy chủ của chính mình và chuyển quyền sở hữu NFT đến địa chỉ của bạn. Do đó, khi ví tiền điện tử của bạn tìm nạp hình ảnh từ xa từ máy chủ, nó sẽ xâm phạm quyền riêng tư của bạn”.

Lupascu đã kiểm tra lỗ hổng bằng cách tạo một NFT trên OpenSea dựa trên tiêu chuẩn ERC-1155. Sau đó, anh sử dụng một trình soạn thảo hợp đồng thông minh để thay đổi URL ban đầu được liên kết với NFT trỏ đến một máy chủ mới dưới sự kiểm soát của anh. Lupascu đã gửi NFT đến một địa chỉ Ethereum. Khi anh truy cập địa chỉ thông qua ứng dụng di động MetaMask, địa chỉ IP của anh xuất hiện trong máy chủ mà anh kiểm soát. Lupascu cho biết chi phí khoảng 50 đô la để thực hiện vụ tấn công.

Lupascu đã thông báo vấn đề này cho team MetaMask vào giữa tháng 12/2021, có nghĩa là ví Web3 đã biết trong ít nhất một tháng. Nhóm MetaMask hứa sẽ phát hành một bản vá vào quý 2/2022 – khung thời gian mà Lupascu coi là “không thể chấp nhận được” với mức độ nghiêm trọng của vấn đề.

Nhà sáng lập MetaMask, Daniel Finlay, thừa nhận trong một phản hồi trên tweet với Lupascu rằng “vấn đề đã được biết đến trong một thời gian dài”.

“Alex có lý khi phàn nàn chúng tôi vì không giải quyết sớm hơn. Bắt đầu vá nó ngay bây giờ. Cảm ơn vì lời chỉ trích và chúng tôi cần nó”.

Finlay cũng đã đề xuất ví có thể “chỉ tải các liên kết loại IPFS theo mặc định”. Hơn nữa, người dùng MetaMask sẽ phải đồng ý rõ ràng để tìm nạp dữ liệu NFT được lưu trữ trên các máy chủ của bên thứ ba.

Trong khi đó, Lupascu nghĩ rằng người dùng Ethereum nên cảnh giác nếu họ nhận được các NFT airdrop và chỉ nên truy cập chúng thông qua OpenSea.

“Cho đến khi vấn đề này được khắc phục trên ứng dụng di động, hãy sử dụng nền tảng OpenSea với bất kỳ ví nào tương thích với Web3 để truy cập bộ sưu tập của bạn. Một lời nhắc nhở cho mọi người rằng quyền riêng tư off-chain thực sự quan trọng — đừng bỏ qua nó”.

Vào những tháng gần đây, các nhà sưu tầm NFT đã mất hàng triệu đô la tài sản kỹ thuật số do các cuộc tấn công, hack và lừa đảo. Nhiều người dùng bị ảnh hưởng đã lưu trữ NFT có giá trị thuộc Bored Ape Yacht Club và các bộ sưu tập được ưa chuộng khác trên ví MetaMask và bị tấn công, lừa đảo. Vì MetaMask là ví nóng nên kẻ trộm có thể rút tiền tương đối dễ dàng sau khi có khóa riêng tư của người dùng. Vì khóa riêng tư cho ví nóng có thể bị xâm phạm thông qua các cuộc tấn công lừa đảo và phần mềm độc hại nên chúng bị coi là kém an toàn hơn so với các tùy chọn lưu trữ lạnh như ví phần cứng yêu cầu truy cập vào thiết bị vật lý để truy cập tiền.

MetaMask là ví Web3 phổ biến nhất để truy cập Ethereum và các mạng blockchain khác tương thích với EVM. Ví có hơn 21 triệu người dùng hoạt động hàng tháng tính đến tháng 11/2021, theo thông cáo báo chí của ConsenSys.

Tham gia Telegram của Tạp Chí Bitcoin để theo dõi tin tức và bình luận về bài viết này: https://t.me/tapchibitcoinvn

Đình Đình

Theo Crypto Briefing

Được đề cập trong bài viết
Bình luận
Đang tải
Mới cập nhật

Trong bối cảnh Bitcoin và các tài sản kỹ thuật số ngày càng được thừa nhận rộng rãi, một xu hướng mới đang lan rộng: các công ty niêm yết đưa Bitcoin và những token khác vào bảng cân đối kế toán như một phần chiến lược tài chính dài... ...

Floki Inu đã theo chân động thái mới nhất của Dogecoin, khi cả hai token này đều khơi dậy sự phấn khích mới trên thị trường meme coin. Trong khi DOGE tiếp tục thống trị các tiêu đề báo chí với tư cách là đồng meme coin tốt nhất để... ...

Cardano (ADA) một lần nữa thu hút sự chú ý của thị trường khi giá của đồng tiền này hình thành một thiết lập kỹ thuật mà giới giao dịch cho rằng có thể trở thành chất xúc tác cho một động thái lớn tiếp theo. Tín hiệu từ biểu... ...

Pi Coin vừa ghi nhận mức tăng 5% trong ngày, leo lên ngưỡng giá cao nhất trong ba tuần. Cùng lúc đó, khối lượng giao dịch cũng tăng vọt lên 114 triệu USD, tức tăng hơn 50% so với ngày trước đó. Điều này khiến Pi trở thành một trong... ...

Metaplanet, công ty niêm yết trên sàn Tokyo, đang tích cực tích lũy Bitcoin, hiện đang phải đối mặt với áp lực gia tăng khi giá cổ phiếu giảm mạnh, đe dọa mô hình huy động vốn mà họ đã áp dụng để xây dựng một trong những kho Bitcoin... ...

Solana (SOL) đã chính thức vượt mặt Ethereum (ETH), vươn lên trở thành blockchain dẫn đầu về vốn hóa thị trường staking. Thành tựu này không chỉ đánh dấu một cột mốc quan trọng, mà còn phản ánh sự phân hóa ngày càng sâu sắc trong cách giới đầu tư... ...

Bitcoin (BTC) hiện đang dao động quanh ngưỡng 108.700 USD, gần như đi ngang trong phiên nhưng vẫn ghi nhận mức giảm hơn 6% trong tháng qua và khoảng 5% trong tuần vừa rồi. Sự chững lại này phản ánh tâm lý thận trọng lan rộng trên thị trường, song... ...

Chiến lược gia phố Wall và Giám đốc đầu tư của Fundstrat, Tom Lee, mới đây đã đưa ra dự đoán táo bạo rằng Ethereum (ETH) có thể chạm ngưỡng 5.500 USD trong ngắn hạn và thậm chí vươn tới 12.000 USD trước khi năm nay kết thúc. Trong một... ...

Số lượng lời kêu gọi “buy the dip” (mua khi giá giảm) trên mạng xã hội đang tăng mạnh sau khi Bitcoin sụt 5% trong tuần qua, và điều này có thể là tín hiệu cảnh báo cho một đợt giảm sâu hơn của thị trường tiền điện tử, theo... ...

Sự hoài nghi về khả năng bứt phá của Bitcoin dường như sẽ không bao giờ biến mất, ngay cả khi tiền điện tử này vươn tới mốc hàng triệu USD, theo một chuyên gia cố vấn. “Điều đó sẽ kéo dài rất lâu,” Luke Broyles, cố vấn của The... ...

Xem thêm bài viết

Chọn chế độ hiển thị:
Bình thường Bảo vệ mắt Dark Mode