Cách Trust Wallet Browser-Erweiterung rút sạch tài sản – Giải thích từng bước

Quy trình của sự cố an ninh: Từ cài đặt đến trộm cắp

Tháng 12 năm 2024 đánh dấu một bước ngoặt cho an ninh ví trình duyệt. Một bản cập nhật bình thường cho tiện ích mở rộng Trust Wallet trên trình duyệt đã chứa logic ẩn, khiến tài khoản người dùng bị rút sạch một cách có hệ thống – hàng triệu đô la trong vòng vài phút.

Giai đoạn 1: Bản cập nhật đáng ngờ

Vào ngày 24 tháng 12, một phiên bản mới của tiện ích mở rộng xuất hiện. Bề ngoài trông vô hại:

• Không có cảnh báo an ninh trong ghi chú phát hành
• Quy trình cập nhật tiêu chuẩn
• Người dùng cài đặt như thường lệ

Sự lừa đảo đã thành công. Không ai nhận ra ngay lập tức rằng đây không phải là bản cập nhật bảo trì thông thường.

Giai đoạn 2: Thay đổi mã ẩn trong một tệp JavaScript

Các nhà nghiên cứu an ninh phân tích các tệp của tiện ích mở rộng và phát hiện logic mới trong 4482.js. Đó là dấu hiệu cảnh báo đầu tiên. Trong một tiện ích ví, mọi liên lạc ra ngoài mới đều phải chịu sự kiểm tra nghiêm ngặt – ở đây đã bị phá vỡ hàng rào bảo vệ.

Giai đoạn 3: Ngụy trang như mã phân tích hợp pháp

Logic độc hại được ngụy trang khéo léo:

• Trông giống như mã telemetry tiêu chuẩn
• Không kích hoạt liên tục
• Chỉ hoạt động dưới điều kiện nhất định

Thiết kế này làm việc phát hiện trở nên khó khăn hơn nhiều. Các thử nghiệm đơn giản có thể đã không phát hiện ra mã đáng ngờ.

Giai đoạn 4: Nguyên nhân chính – Nhập Seed-Phrase

Phân tích đảo ngược cho thấy logic này hoạt động chính xác khi người dùng nhập seed-phrase vào tiện ích mở rộng. Đó là thời điểm lý tưởng cho kẻ tấn công – vì:

• Seed-Phrase cho phép kiểm soát hoàn toàn ví
• Thường là một quá trình duy nhất
• Tội phạm chỉ cần hành động một lần

Người dùng chỉ sử dụng ví đã có thể bỏ qua trigger này.

Giai đoạn 5: Exfil dữ liệu đến tên miền giả mạo

Khi điều kiện được đáp ứng, mã giả gửi dữ liệu ví ra một máy chủ bên ngoài:

metrics-trustwallet[.]com

Sự lừa đảo hoàn hảo:

• Tên miền giống như một subdomain của Trust Wallet thật
• Được đăng ký mới vài ngày trước đó
• Không được ghi nhận công khai
• Ngay sau đó đã ngưng hoạt động

Giai đoạn 6: Tự động rút tiền

Ngay sau khi người dùng nhập seed-phrase, hàng nghìn ví bị rút sạch:

• Giao dịch diễn ra trong vòng vài phút
• Nhiều tài sản được di chuyển cùng lúc
• Không cần sự can thiệp của con người

Dữ liệu trên chuỗi cho thấy các mẫu tự động – kẻ tấn công có đủ quyền kiểm soát để ký các giao dịch tự động.

Giai đoạn 7: Tập trung qua nhiều ví

Số tiền bị đánh cắp chảy qua hàng chục tài khoản của kẻ tấn công. Điều này không phải ngẫu nhiên:

• Nhiều địa chỉ mục tiêu giảm thiểu rủi ro truy vết
• Việc tự động hóa rõ ràng
• Hành vi phù hợp với các khai thác chuyên nghiệp

Ước tính tổng dựa trên các giao dịch theo dõi: hàng triệu đô la.

Giai đoạn 8: Che giấu dấu vết nhanh chóng

Sau khi cộng đồng phát hiện:

• Tên miền đáng ngờ bị tắt
• Không có lời giải thích công khai ngay lập tức
• Các bằng chứng chụp màn hình và cache bị xóa bỏ một cách quyết liệt

Đây là hành vi điển hình của kẻ tấn công: phá hủy hạ tầng ngay khi bị xâm phạm.

Giai đoạn 9: Xác nhận chính thức muộn

Trust Wallet cuối cùng xác nhận:

• Sự cố an ninh ảnh hưởng đến các phiên bản tiện ích mở rộng cụ thể
• Người dùng di động không bị ảnh hưởng
• Khuyến nghị cập nhật hoặc vô hiệu hóa ngay lập tức

Tuy nhiên, vẫn còn nhiều câu hỏi chưa rõ:

• Tại sao tên miền tồn tại?
• Seed-Phrase có bị lộ không?
• Có sự tham gia của các bên nội bộ hoặc bên ngoài không?

Những lỗ hổng này đã làm dấy lên nhiều suy đoán.

Những điều chúng ta chắc chắn biết

✓ Một bản cập nhật tiện ích trình duyệt đã tạo ra các kết nối ra ngoài đáng ngờ ✓ Người dùng mất tiền ngay sau khi nhập seed-phrase ✓ Sự cố chỉ giới hạn trong một số phiên bản nhất định ✓ Trust Wallet xác nhận sự cố an ninh

Những dấu hiệu mạnh mẽ cho thấy

→ Tiêm mã độc vào chuỗi cung ứng → Seed-Phrases hoặc khả năng ký đã bị xâm phạm → Mã phân tích bị lợi dụng như vũ khí

Những điều còn bỏ ngỏ

? Liệu mã có bị cố ý chèn vào hay bị xâm phạm upstream ? Số lượng người dùng bị ảnh hưởng chính xác ? Danh tính của các kẻ tấn công ? Có dữ liệu nhạy cảm nào khác bị exfil không

Tại sao sự cố này ảnh hưởng toàn ngành

Sự cố này không phải là một cuộc tấn công lừa đảo phishing tiêu chuẩn. Nó cho thấy:

Tính mong manh của tiện ích mở rộng trình duyệt – Chúng truy cập vào khoá riêng và seed-phrases. Một lỗi nhỏ trong mã hoặc lỗ hổng có thể gây thảm họa.

Rủi ro của việc tin tưởng mù quáng vào cập nhật – Người dùng tự động cài đặt cập nhật mà không kiểm tra mã. Các cập nhật là một kênh tấn công hoàn hảo.

Cách mã phân tích có thể bị biến dạng – Các chức năng telemetry trông hợp pháp, nhưng có thể lấy cắp dữ liệu nhạy cảm.

Thời điểm nguy hiểm nhất: Quản lý seed-phrase – Việc nhập seed-phrase là thời điểm nguy hiểm nhất trong quá trình sử dụng ví.

Chỉ một lỗi nhỏ hoặc một lỗ hổng cố ý chèn vào cũng đủ để lấy đi hàng triệu đô la trong vòng vài phút.

Bài học: Trong an ninh crypto, không có chi tiết nhỏ nào là không quan trọng. Mỗi bản cập nhật đều cần thận trọng, không phải tin tưởng.