MetaMask biết có lỗ hổng bảo mật nghiêm trọng nhưng vẫn chưa vá sau một tháng

Updated: 22/01/2022 at 16:02

Theo Alexandru Lupascu, người dùng MetaMask truy cập ứng dụng trên thiết bị di động có nguy cơ bị lộ địa chỉ IP.

MetaMask

Ứng dụng di động MetaMask không bảo đảm quyền riêng tư cho người dùng

Một nhà mật mã đã cảnh báo người dùng MetaMask có thể gặp rủi ro về quyền riêng tư.

Alexandru Lupascu, đồng sáng lập dịch vụ node quyền riêng tư OMNIA Protocol, đã tìm thấy một lỗ hổng nghiêm trọng trong ví Web3 phổ biến của ConsenSys. Thông qua lỗ hổng này, hacker có thể truy cập địa chỉ IP của người dùng, do đó gây ra rủi ro về quyền riêng tư. Địa chỉ IP là số nhận dạng toàn cầu duy nhất được chỉ định cho một thiết bị kết nối với web. Khi người dùng lưu trữ tiền điện tử trên ví MetaMask, lỗ hổng địa chỉ IP là mối lo ngại lớn.

Lupascu đã đăng tải một bài đăng trên blog giải thích lỗ hổng có thể bị khai thác bằng cách đúc và airdrop một bộ sưu tập NFT tới địa chỉ Ethereum kết nối MetaMask sử dụng trên điện thoại di động.

NFT là tài sản kỹ thuật số biểu thị quyền sở hữu nội dung như nghệ thuật, âm nhạc và meme kỹ thuật số. Chúng cung cấp một phương thức để token hóa nội dung nhưng thường không lưu trữ nội dung thực tế. Vì việc lưu trữ dữ liệu hình ảnh trên một blockchain như Ethereum có thể tốn kém nên các NFT chứa Uniform Resource Locators (URL) chỉ đến dữ liệu. Nội dung cho NFT thường được lưu trữ trên mạng lưu trữ phi tập trung như IPFS hoặc trên các máy chủ đám mây tập trung từ xa.

Theo mặc định, ứng dụng MetaMask dành cho thiết bị di động hiển thị các NFT được lưu trữ trong một địa chỉ sử dụng lệnh hàm URL tới dữ liệu hình ảnh. Dữ liệu này lưu trữ trên các máy chủ từ xa. Quá trình được thực hiện mà không cần có sự đồng ý của người dùng để hiển thị những NFT nào chứa trong ví Ethereum của họ.

Trong quá trình tìm nạp này, tất cả các cổng máy chủ xử lý việc truyền dữ liệu hình ảnh sẽ nhận được thông tin IP của người dùng. Nói chung, các dự án vận hành máy chủ cho dữ liệu hình ảnh bảo đảm dữ liệu được an toàn.

Trong cuộc điều tra của mình, Lupascu xác định các thực thể độc hại có thể tìm thấy dữ liệu IP của người dùng MetaMask và khai thác thông tin để thực hiện các cuộc tấn công có chủ đích. Trong bài đăng trên blog của mình, Lupascu giải thích:

“Nếu kẻ độc hại biết địa chỉ blockchain của bạn, hắn ta có thể tạo ra một NFT có URL chỉ đến máy chủ của chính mình và chuyển quyền sở hữu NFT đến địa chỉ của bạn. Do đó, khi ví tiền điện tử của bạn tìm nạp hình ảnh từ xa từ máy chủ, nó sẽ xâm phạm quyền riêng tư của bạn”.

Lupascu đã kiểm tra lỗ hổng bằng cách tạo một NFT trên OpenSea dựa trên tiêu chuẩn ERC-1155. Sau đó, anh sử dụng một trình soạn thảo hợp đồng thông minh để thay đổi URL ban đầu được liên kết với NFT trỏ đến một máy chủ mới dưới sự kiểm soát của anh. Lupascu đã gửi NFT đến một địa chỉ Ethereum. Khi anh truy cập địa chỉ thông qua ứng dụng di động MetaMask, địa chỉ IP của anh xuất hiện trong máy chủ mà anh kiểm soát. Lupascu cho biết chi phí khoảng 50 đô la để thực hiện vụ tấn công.

Lupascu đã thông báo vấn đề này cho team MetaMask vào giữa tháng 12/2021, có nghĩa là ví Web3 đã biết trong ít nhất một tháng. Nhóm MetaMask hứa sẽ phát hành một bản vá vào quý 2/2022 – khung thời gian mà Lupascu coi là “không thể chấp nhận được” với mức độ nghiêm trọng của vấn đề.

Nhà sáng lập MetaMask, Daniel Finlay, thừa nhận trong một phản hồi trên tweet với Lupascu rằng “vấn đề đã được biết đến trong một thời gian dài”.

“Alex có lý khi phàn nàn chúng tôi vì không giải quyết sớm hơn. Bắt đầu vá nó ngay bây giờ. Cảm ơn vì lời chỉ trích và chúng tôi cần nó”.

Finlay cũng đã đề xuất ví có thể “chỉ tải các liên kết loại IPFS theo mặc định”. Hơn nữa, người dùng MetaMask sẽ phải đồng ý rõ ràng để tìm nạp dữ liệu NFT được lưu trữ trên các máy chủ của bên thứ ba.

Trong khi đó, Lupascu nghĩ rằng người dùng Ethereum nên cảnh giác nếu họ nhận được các NFT airdrop và chỉ nên truy cập chúng thông qua OpenSea.

“Cho đến khi vấn đề này được khắc phục trên ứng dụng di động, hãy sử dụng nền tảng OpenSea với bất kỳ ví nào tương thích với Web3 để truy cập bộ sưu tập của bạn. Một lời nhắc nhở cho mọi người rằng quyền riêng tư off-chain thực sự quan trọng — đừng bỏ qua nó”.

Vào những tháng gần đây, các nhà sưu tầm NFT đã mất hàng triệu đô la tài sản kỹ thuật số do các cuộc tấn công, hack và lừa đảo. Nhiều người dùng bị ảnh hưởng đã lưu trữ NFT có giá trị thuộc Bored Ape Yacht Club và các bộ sưu tập được ưa chuộng khác trên ví MetaMask và bị tấn công, lừa đảo. Vì MetaMask là ví nóng nên kẻ trộm có thể rút tiền tương đối dễ dàng sau khi có khóa riêng tư của người dùng. Vì khóa riêng tư cho ví nóng có thể bị xâm phạm thông qua các cuộc tấn công lừa đảo và phần mềm độc hại nên chúng bị coi là kém an toàn hơn so với các tùy chọn lưu trữ lạnh như ví phần cứng yêu cầu truy cập vào thiết bị vật lý để truy cập tiền.

MetaMask là ví Web3 phổ biến nhất để truy cập Ethereum và các mạng blockchain khác tương thích với EVM. Ví có hơn 21 triệu người dùng hoạt động hàng tháng tính đến tháng 11/2021, theo thông cáo báo chí của ConsenSys.

Tham gia Telegram của Tạp Chí Bitcoin để theo dõi tin tức và bình luận về bài viết này: https://t.me/tapchibitcoinvn

Đình Đình

Theo Crypto Briefing

Được đề cập trong bài viết
Bình luận
Đang tải
Mới cập nhật

Chuyên gia phân tích và giao dịch tiền điện tử Jason Pizzino tin rằng Bitcoin (BTC) có khả năng tăng khoảng 55% so với mức hiện tại. Trong một buổi hội thảo chiến lược gần đây, Pizzino đã chia sẻ với 355.000 người đăng ký trên kênh YouTube của mình... ...

Bitcoin (BTC) hiện đang giao dịch quanh mức 116.800 USD, nhưng theo nhà sáng lập Capriole Investments – Charles Edwards, Bitcoin có thể đạt mức giá lên tới 167.800 USD nếu giá trị của nó khớp với “giá trị năng lượng”. Trong một bài đăng trên X vào thứ Năm... ...

Thị trường tiền điện tử bừng sáng trở lại sau khi Tổng thống Mỹ Donald Trump ký ban hành sắc lệnh hành pháp Crypto 401k. Trong làn sóng hứng khởi đó, Pendle (PENDLE), Mantle (MNT) và Aerodrome Finance (AERO) nổi bật lên như những cái tên dẫn đầu đà tăng... ...

Trong thế giới crypto luôn biến động, hiếm có dự án nào duy trì được sức hút bền bỉ như Pi Network. Được hậu thuẫn bởi một cộng đồng hàng chục triệu người dùng cùng mô hình khai thác thân thiện trên thiết bị di động, Pi không chỉ là... ...

Giá Bitcoin (BTC), Ethereum (ETH) và Ripple (XRP) đang áp sát những ngưỡng kháng cự quan trọng trong phiên giao dịch ngày thứ Sáu, sau khi đồng loạt bứt phá mạnh vào hôm qua với mức tăng lần lượt 2%, 6% và 11%. Động lực tăng trưởng này đến ngay... ...

Cardano (ADA) giữ vững đà tăng gần mốc 0,8 đô la vào thứ Sáu, sau cú bật ấn tượng 5% trong 24 giờ qua. Sự phục hồi này được thúc đẩy bởi làn sóng quan tâm gia tăng từ giới giao dịch, thể hiện qua mức tăng 12% của tổng... ...

Trong thế giới crypto đầy biến động, các tín hiệu kỹ thuật đóng vai trò quan trọng trong việc dự báo xu hướng giá. Và mới đây, nhà phân tích nổi tiếng Ali Martinez đã chỉ ra một tín hiệu đáng chú ý trên biểu đồ dài hạn của Dogecoin... ...

Stellar (XLM) tiếp tục thăng hoa, tăng gần 5% vào thời điểm viết bài ngày thứ Sáu, nối dài đà bứt phá ấn tượng 10% từ phiên giao dịch trước đó. Đà tăng mạnh mẽ của token thanh toán xuyên biên giới này được thúc đẩy bởi diễn biến tích... ...

Sau một thời gian im ắng, thị trường altcoin đang cho thấy những dấu hiệu phục hồi rõ rệt khi hàng loạt đồng tiền lớn bắt đầu lấy lại đà tăng. Ethereum đang tiến sát mốc tâm lý quan trọng 4.000 USD – điều chưa từng thấy kể từ năm... ...

Kể từ khi thiết lập đỉnh lịch sử ở mức 122.054 USD vào ngày 14/7, Bitcoin đã rơi vào trạng thái giằng co giữa bên mua và bên bán, khiến giá dao động trong một biên độ hẹp. Trong tuần qua, Bitcoin liên tục gặp trở ngại tại ngưỡng kháng... ...

Xem thêm bài viết

Chọn chế độ hiển thị:
Bình thường Bảo vệ mắt Dark Mode