Trang chủ Tạp chí MetaMask biết có lỗ hổng bảo mật nghiêm trọng nhưng vẫn chưa...

MetaMask biết có lỗ hổng bảo mật nghiêm trọng nhưng vẫn chưa vá sau một tháng

Theo Alexandru Lupascu, người dùng MetaMask truy cập ứng dụng trên thiết bị di động có nguy cơ bị lộ địa chỉ IP.

MetaMask

Ứng dụng di động MetaMask không bảo đảm quyền riêng tư cho người dùng

Một nhà mật mã đã cảnh báo người dùng MetaMask có thể gặp rủi ro về quyền riêng tư.

Alexandru Lupascu, đồng sáng lập dịch vụ node quyền riêng tư OMNIA Protocol, đã tìm thấy một lỗ hổng nghiêm trọng trong ví Web3 phổ biến của ConsenSys. Thông qua lỗ hổng này, hacker có thể truy cập địa chỉ IP của người dùng, do đó gây ra rủi ro về quyền riêng tư. Địa chỉ IP là số nhận dạng toàn cầu duy nhất được chỉ định cho một thiết bị kết nối với web. Khi người dùng lưu trữ tiền điện tử trên ví MetaMask, lỗ hổng địa chỉ IP là mối lo ngại lớn.

Lupascu đã đăng tải một bài đăng trên blog giải thích lỗ hổng có thể bị khai thác bằng cách đúc và airdrop một bộ sưu tập NFT tới địa chỉ Ethereum kết nối MetaMask sử dụng trên điện thoại di động.

NFT là tài sản kỹ thuật số biểu thị quyền sở hữu nội dung như nghệ thuật, âm nhạc và meme kỹ thuật số. Chúng cung cấp một phương thức để token hóa nội dung nhưng thường không lưu trữ nội dung thực tế. Vì việc lưu trữ dữ liệu hình ảnh trên một blockchain như Ethereum có thể tốn kém nên các NFT chứa Uniform Resource Locators (URL) chỉ đến dữ liệu. Nội dung cho NFT thường được lưu trữ trên mạng lưu trữ phi tập trung như IPFS hoặc trên các máy chủ đám mây tập trung từ xa.

Theo mặc định, ứng dụng MetaMask dành cho thiết bị di động hiển thị các NFT được lưu trữ trong một địa chỉ sử dụng lệnh hàm URL tới dữ liệu hình ảnh. Dữ liệu này lưu trữ trên các máy chủ từ xa. Quá trình được thực hiện mà không cần có sự đồng ý của người dùng để hiển thị những NFT nào chứa trong ví Ethereum của họ.

Trong quá trình tìm nạp này, tất cả các cổng máy chủ xử lý việc truyền dữ liệu hình ảnh sẽ nhận được thông tin IP của người dùng. Nói chung, các dự án vận hành máy chủ cho dữ liệu hình ảnh bảo đảm dữ liệu được an toàn.

Trong cuộc điều tra của mình, Lupascu xác định các thực thể độc hại có thể tìm thấy dữ liệu IP của người dùng MetaMask và khai thác thông tin để thực hiện các cuộc tấn công có chủ đích. Trong bài đăng trên blog của mình, Lupascu giải thích:

“Nếu kẻ độc hại biết địa chỉ blockchain của bạn, hắn ta có thể tạo ra một NFT có URL chỉ đến máy chủ của chính mình và chuyển quyền sở hữu NFT đến địa chỉ của bạn. Do đó, khi ví tiền điện tử của bạn tìm nạp hình ảnh từ xa từ máy chủ, nó sẽ xâm phạm quyền riêng tư của bạn”.

Lupascu đã kiểm tra lỗ hổng bằng cách tạo một NFT trên OpenSea dựa trên tiêu chuẩn ERC-1155. Sau đó, anh sử dụng một trình soạn thảo hợp đồng thông minh để thay đổi URL ban đầu được liên kết với NFT trỏ đến một máy chủ mới dưới sự kiểm soát của anh. Lupascu đã gửi NFT đến một địa chỉ Ethereum. Khi anh truy cập địa chỉ thông qua ứng dụng di động MetaMask, địa chỉ IP của anh xuất hiện trong máy chủ mà anh kiểm soát. Lupascu cho biết chi phí khoảng 50 đô la để thực hiện vụ tấn công.

Lupascu đã thông báo vấn đề này cho team MetaMask vào giữa tháng 12/2021, có nghĩa là ví Web3 đã biết trong ít nhất một tháng. Nhóm MetaMask hứa sẽ phát hành một bản vá vào quý 2/2022 – khung thời gian mà Lupascu coi là “không thể chấp nhận được” với mức độ nghiêm trọng của vấn đề.

Nhà sáng lập MetaMask, Daniel Finlay, thừa nhận trong một phản hồi trên tweet với Lupascu rằng “vấn đề đã được biết đến trong một thời gian dài”.

“Alex có lý khi phàn nàn chúng tôi vì không giải quyết sớm hơn. Bắt đầu vá nó ngay bây giờ. Cảm ơn vì lời chỉ trích và chúng tôi cần nó”.

Finlay cũng đã đề xuất ví có thể “chỉ tải các liên kết loại IPFS theo mặc định”. Hơn nữa, người dùng MetaMask sẽ phải đồng ý rõ ràng để tìm nạp dữ liệu NFT được lưu trữ trên các máy chủ của bên thứ ba.

Trong khi đó, Lupascu nghĩ rằng người dùng Ethereum nên cảnh giác nếu họ nhận được các NFT airdrop và chỉ nên truy cập chúng thông qua OpenSea.

“Cho đến khi vấn đề này được khắc phục trên ứng dụng di động, hãy sử dụng nền tảng OpenSea với bất kỳ ví nào tương thích với Web3 để truy cập bộ sưu tập của bạn. Một lời nhắc nhở cho mọi người rằng quyền riêng tư off-chain thực sự quan trọng — đừng bỏ qua nó”.

Vào những tháng gần đây, các nhà sưu tầm NFT đã mất hàng triệu đô la tài sản kỹ thuật số do các cuộc tấn công, hack và lừa đảo. Nhiều người dùng bị ảnh hưởng đã lưu trữ NFT có giá trị thuộc Bored Ape Yacht Club và các bộ sưu tập được ưa chuộng khác trên ví MetaMask và bị tấn công, lừa đảo. Vì MetaMask là ví nóng nên kẻ trộm có thể rút tiền tương đối dễ dàng sau khi có khóa riêng tư của người dùng. Vì khóa riêng tư cho ví nóng có thể bị xâm phạm thông qua các cuộc tấn công lừa đảo và phần mềm độc hại nên chúng bị coi là kém an toàn hơn so với các tùy chọn lưu trữ lạnh như ví phần cứng yêu cầu truy cập vào thiết bị vật lý để truy cập tiền.

MetaMask là ví Web3 phổ biến nhất để truy cập Ethereum và các mạng blockchain khác tương thích với EVM. Ví có hơn 21 triệu người dùng hoạt động hàng tháng tính đến tháng 11/2021, theo thông cáo báo chí của ConsenSys.

Tham gia Telegram của Tạp Chí Bitcoin để theo dõi tin tức và bình luận về bài viết này: https://t.me/tapchibitcoinvn

Đình Đình

Theo Crypto Briefing

MỚI CẬP NHẬT

Nga chuẩn bị ra mắt sàn giao dịch tiền điện tử cấp quốc gia

Nga chuẩn bị ra mắt sàn giao dịch tiền điện tử cấp quốc gia

Bộ Tài chính và Ngân hàng Trung ương Nga đang hợp tác để triển khai một sàn giao dịch tiền điện tử tập trung....

DeFi Development nâng nắm giữ Solana lên 48 triệu USD, xu hướng tích lũy...

DeFi Development Corp (JNVR), trước đây là Janover, vừa bổ sung thêm 9,9 triệu USD giá trị Solana (SOL) vào kho bạc công ty, nâng...

Aave phá vỡ ngưỡng kháng cự 150 đô la khi phe mua tự tin...

Aave (AAVE) đã ghi nhận sự gia tăng chậm nhưng ổn định của Tổng giá trị bị khóa (TVL) trong những ngày gần đây,...
Giá SUI tăng 26%

Giá SUI tăng 26% khi các memecoin trên hệ sinh thái bùng nổ

Hệ sinh thái Sui (SUI) đã ghi nhận sự tăng trưởng ấn tượng khi khối lượng giao dịch tăng vọt 180%, đạt mức 3,8...
xrp-tang-gia

OI hợp đồng tương lai XRP tăng vọt 32% – Các trader đang lạc...

Vào ngày 7 tháng 4, giá XRP đã rơi xuống mức thấp nhất kể từ đầu năm, chạm mốc $1,61. Tuy nhiên, trong hai...

3 token AI Agent cần chú ý vào cuối tháng 4

Các loại tiền điện tử liên quan đến AI agent đang lấy lại đà tăng trưởng khi lĩnh vực này có dấu hiệu phục...
ngay-24-4-phan-tich

Phân tích kỹ thuật ngày 24 tháng 4: BTC, ETH, XRP, BNB, SOL, DOGE,...

Bitcoin (BTC) áp sát mốc kháng cự $95.000 vào ngày 23/4, khi đà tăng được thúc đẩy bởi dòng vốn mạnh mẽ đổ vào...
Pi Network (PI) gặp khó khăn trong việc quay trở lại $1

Pi Network (PI) gặp khó khăn trong việc quay trở lại $1

Pi Network (PI) đang cho thấy dấu hiệu ổn định sau một tháng đầy biến động, với mức tăng 4,7% trong tuần qua. Tuy...

Dòng tiền vào Bitcoin ETF ngày 22/4 cao gấp 500 lần mức trung bình...

Vào ngày 22 tháng 4, các nhà đầu tư tổ chức đã rót vào các ETF Bitcoin tại Mỹ gấp hơn 11 lần mức...

SOL Strategies huy động 500 triệu USD để mua token Solana

SOL Strategies, một công ty đầu tư có trụ sở tại Canada, vừa phát hành 500 triệu USD trái phiếu chuyển đổi nhằm mục...

Giá TRUMP tăng 50% sau khi Tổng thống Donald Trump thông báo ăn tối...

Vào ngày 23 tháng 4, giá Official Trump (TRUMP) đã tăng vọt 52% sau thông báo về một bữa tối độc quyền với Tổng...
dự đoán Bitcoin sẽ đạt 200.000 đô la đến 1 triệu đô la vào năm 2025

6 nhà lãnh đạo ngành dự đoán Bitcoin sẽ đạt 200.000 đô la đến...

Các nhà lãnh đạo ngành tiền điện tử kỳ vọng thời kỳ tươi sáng sẽ đến với Bitcoin (BTC) trong thời gian còn lại...
ada-tang-gia

Cardano (ADA) đột phá mô hình tích lũy dài hạn – Giá sẽ đi...

Cardano (ADA) đã chính thức bứt phá lên trên mô hình tam giác đối xứng sau nhiều tuần tích lũy, vượt qua vùng kháng...
altcoin-noi-bat

TOP 3 altcoin có xu hướng nổi bật hôm nay – Ngày 23 tháng...

Thị trường tiền điện tử đang chứng kiến làn sóng phục hồi mạnh mẽ trong 24 giờ qua, khi tổng vốn hóa toàn thị...
Floki

FLOKI tăng vọt 19% sau breakout tăng giá, sắp tăng thêm 45%?

Trong 24 giờ qua, Floki đã ghi nhận một trong những đợt tăng mạnh nhất trên thị trường, tăng 19% và đưa mức tăng...
pi

Dự đoán giá Pi Network 2025, 2026 – 2030

Pi Network hiện đang là tâm điểm của thị trường crypto, khi mọi nhà đầu tư và trader đều muốn sở hữu một phần....