Coinspect Security vào ngày 6 tháng 7 đã tiết lộ rằng một lỗ hổng sinh ví có tên "Ill Bloom" đang bị kẻ tấn công khai thác chủ động, nguyên nhân gốc rễ là do bộ sinh số ngẫu nhiên giả mạo không an toàn được sử dụng trong quá trình tạo cụm từ khôi phục, dẫn đến độ mạnh mã hóa của cụm từ gợi nhớ thấp hơn dự kiến, khiến kẻ tấn công có thể kiểm soát ví bị ảnh hưởng và đánh cắp tiền. Bằng chứng đầu tiên về khai thác trên chuỗi có thể được truy vết từ ngày 27 tháng 5, tổng thiệt hại vượt quá 5 triệu USD.
Nguyên nhân kỹ thuật của lỗ hổng Ill Bloom: Bộ sinh số ngẫu nhiên giả mạo yếu và độ mạnh cụm từ gợi nhớ không đủ
Theo tiết lộ của Coinspect, nguyên nhân kỹ thuật cơ bản của lỗ hổng Ill Bloom là ví đã sử dụng bộ sinh số ngẫu nhiên giả mạo (PRNG) không an toàn khi tạo cụm từ khôi phục (cụm từ gợi nhớ), dẫn đến độ mạnh mã hóa của cụm từ khôi phục thấp hơn dự kiến, cho phép kẻ tấn công dự đoán hoặc tái tạo lại cụm từ gợi nhớ, từ đó hoàn toàn kiểm soát ví bị ảnh hưởng.
Coinspect cho biết đã tái hiện đầy đủ quá trình tấn công: xác định nguyên nhân gốc rễ, tạo tất cả các địa chỉ có thể được tạo ra từ cụm từ khôi phục dễ bị tấn công, và sử dụng dữ liệu chuỗi công khai để kiểm tra những địa chỉ nào vẫn còn tiền. Bằng chứng hiện có cho thấy hầu hết các ví phần mềm phổ biến không tồn tại lỗ hổng này, những người dùng có khả năng bị ảnh hưởng nhất là những người sử dụng "ví phần mềm di động ít phổ biến" để tạo cụm từ gợi nhớ.
Quy mô thiệt hại và các chuỗi bị ảnh hưởng: 3 triệu USD vào ngày 27 tháng 5, 2 triệu USD gần đây
Theo dữ liệu do Coinspect tiết lộ, quy mô thiệt hại đã biết của lỗ hổng này như sau:
Ngày 27 tháng 5: Cuộc tấn công trên chuỗi đầu tiên được biết đến, hàng trăm tài khoản bị đánh cắp khoảng 3 triệu USD
Gần đây (vài giờ trước khi tiết lộ): Khoảng 2 triệu USD đã được chuyển ra khỏi các ví bị lộ
Hiện tại vẫn còn rủi ro: Hàng nghìn tài khoản vẫn đang bị phơi nhiễm rủi ro
Các chuỗi bị ảnh hưởng: Bitcoin (BTC), Ethereum (ETH) và các mạng L2, Tron, Solana
Phạm vi thời gian ảnh hưởng của lỗ hổng: Có thể truy vết từ năm 2018, các ví bị ảnh hưởng vẫn tiếp tục được tạo ra trong vài tuần trước
Giám đốc an ninh thông tin của SlowMist, 23pds, cũng đã đăng bình luận trên mạng xã hội, tuyên bố rằng SlowMist đang cùng theo dõi rủi ro PRNG yếu do Coinspect tiết lộ, kêu gọi người dùng có cụm từ gợi nhớ lịch sử kiểm tra các công cụ liên quan.
Cách sử dụng công cụ kiểm tra địa chỉ của Coinspect và khuyến nghị di chuyển an toàn tài sản
Coinspect đã đưa lên công cụ kiểm tra địa chỉ bị ảnh hưởng công khai, cách sử dụng: chỉ nhập địa chỉ ví công khai (không nhập cụm từ gợi nhớ, khóa riêng tư hoặc bất kỳ thông tin bí mật nào), công cụ sẽ so sánh với tập dữ liệu địa chỉ dễ bị tấn công công khai; nếu khớp, công cụ sẽ hiển thị các bước tiếp theo.
Coinspect tuyên bố rằng công cụ chỉ yêu cầu địa chỉ công khai và địa chỉ sẽ không được gửi đến bất kỳ máy chủ bên thứ ba nào. Nếu địa chỉ khớp, phương pháp xử lý an toàn nhất được khuyến nghị là:
· Tạo một ví hoàn toàn mới và tạo cụm từ gợi nhớ mới, sau đó di chuyển tài sản đến địa chỉ ví mới;
· Coinspect nhấn mạnh rằng chỉ cập nhật ứng dụng hoặc nhập cùng một cụm từ gợi nhớ vào một ứng dụng khác không đảm bảo an toàn cho tài sản.
· Nếu kết quả kiểm tra là âm tính, không có nghĩa là ví hoàn toàn an toàn, vì tập dữ liệu có thể không đầy đủ.
Câu hỏi thường gặp
Những loại người dùng ví nào có khả năng bị ảnh hưởng bởi lỗ hổng Ill Bloom nhất?
Theo tiết lộ của Coinspect, người dùng sử dụng ví phần cứng để tạo cụm từ gợi nhớ không bị ảnh hưởng bởi lỗ hổng này; hầu hết các ví phần mềm phổ biến cũng không bị ảnh hưởng. Những người có khả năng bị ảnh hưởng nhất là người dùng sử dụng "ví phần mềm di động ít phổ biến" để tạo cụm từ gợi nhớ. Coinspect cho biết không thể công bố tất cả các ứng dụng ví bị ảnh hưởng, vì địa chỉ công khai không thể tiết lộ ứng dụng ví ban đầu đã tạo ra địa chỉ đó; nếu địa chỉ khớp, người dùng có thể báo cáo ứng dụng đã sử dụng để giúp xác định phần mềm bị ảnh hưởng.
Nếu công cụ địa chỉ của Coinspect hiển thị địa chỉ ví của tôi khớp, tôi nên làm gì?
Theo khuyến nghị của Coinspect, nếu địa chỉ khớp, hãy thực hiện ngay các bước sau: Tạo một ví hoàn toàn mới và thiết lập một cụm từ gợi nhớ hoàn toàn mới; xác nhận rằng bạn thấy một bộ 12 đến 24 từ hoàn toàn mới (nếu được yêu cầu nhập cụm từ gợi nhớ hiện có, đó là khôi phục ví cũ, không phải tạo mới); sau khi hoàn tất, di chuyển tất cả tài sản đến địa chỉ ví mới. Coinspect nhấn mạnh rằng chỉ cập nhật ứng dụng hoặc nhập cùng một cụm từ gợi nhớ vào một ứng dụng khác không thể đảm bảo an toàn cho tài sản.
Lỗ hổng Ill Bloom có chỉ ảnh hưởng đến một blockchain cụ thể không?
Theo tiết lộ của Coinspect, lỗ hổng này ảnh hưởng đến nhiều chuỗi, bao gồm Bitcoin, Ethereum và các mạng L2, Tron và Solana, rủi ro không giới hạn ở chuỗi nơi hoạt động đáng ngờ được phát hiện ban đầu. Tất cả các địa chỉ trên chuỗi được tạo bằng cùng một cụm từ gợi nhớ đều có thể đối mặt với rủi ro tương tự; Coinspect đã cung cấp tiết lộ chi tiết kỹ thuật theo từng giai đoạn, thông tin kỹ thuật đầy đủ chỉ được chia sẻ với các nhóm nhà cung cấp có khả năng bảo vệ người dùng.
