Hơn nửa triệu đô la bị rút hết qua ủy quyền chữ ký giả trên aEthUSDT

Một ví khác đã trở thành nạn nhân của vụ trộm dựa trên chữ ký, với kẻ tấn công lấy đi khoảng 563.590 đô la giá trị của token aEthUSDT thông qua một phương thức “phê duyệt” giả mạo dựa trên chữ ký.

Theo các phát hiện từ Scam Sniffer, vụ việc này làm nổi bật một lỗ hổng nghiêm trọng trong cách người dùng tương tác với các quyền truy cập blockchain. Nạn nhân đã ký một giao dịch trông có vẻ như là một giao dịch tiêu chuẩn, chỉ để phát hiện ra rằng số dư aEthUSDT của họ—gần đạt mức 560.000 đô la—đã bị rút sạch khỏi tài khoản của họ một cách có hệ thống.

Cách vụ tấn công diễn ra

Loại khai thác này tận dụng một sơ hở bảo mật phổ biến: người dùng phê duyệt các giao dịch mà không hiểu rõ các quyền mà họ đang cấp phép. Thay vì chuyển token trực tiếp, kẻ lừa đảo yêu cầu phê duyệt dựa trên chữ ký, qua đó họ có thể truy cập không giới hạn vào các tài sản cụ thể trong ví của nạn nhân.

Rủi ro thực sự

Điều làm cho các cuộc tấn công này đặc biệt nguy hiểm là tính tinh vi của chúng. Khác với các hình thức lừa đảo qua email truyền thống, các phương thức phê duyệt độc hại không gây ra cảnh báo ngay lập tức. Nạn nhân có thể không nhận ra rằng quỹ của họ đã bị xâm phạm cho đến khi thiệt hại đã xảy ra. Đối với những người nắm giữ các tài sản như aEthUSDT, vốn kết nối nhiều giao thức, rủi ro mở rộng đáng kể.

Tại sao điều này lại quan trọng

Những vụ việc như thế này nhấn mạnh tầm quan trọng của việc kiểm tra kỹ mọi yêu cầu chữ ký—bất kể nguồn gốc của nó—và không thể bỏ qua. Ngay cả những phê duyệt tưởng chừng như bình thường cũng có thể trở thành cánh cửa cho các hoạt động trộm cắp tinh vi nhằm vào các khoản nắm giữ lớn.