FomoPeek bị đánh cắp: Bạn cần hướng dẫn bảo mật khóa riêng mới này!

Tác giả: Alan | Đội ngũ nội dung Biteye

01 / FomoPeek bị đánh cắp, nọc độc của rừng tối trong tiền điện tử lại xuất hiện

Trong hai ngày qua, thị trường bắt đầu có dấu hiệu hồi phục, nhưng Twitter lại bùng nổ tin tức: Nhiều người chơi trên chuỗi đã mất sạch tài sản trong ví mà không có bất kỳ tương tác bất thường nào. Qua việc phân tích lại cùng với đội ngũ an ninh của SlowMist và OKX, thủ phạm được chỉ ra là công cụ giám sát Meme ------ FomoPeek (phiên bản 1.1--1.2).

Phân tích ngược đã tiết lộ những chi tiết khiến người ta lạnh gáy:

• Không phải lừa đảo truyền thống: Người dùng không dán cụm từ khôi phục vào bất kỳ trang web giả mạo nào, cũng không nhấp vào chữ ký trên hợp đồng độc hại;

• Khai thác ở cấp độ hạt nhân hệ thống: Ứng dụng này đã gắn bó với một bộ mã khai thác hạt nhân iOS, có khả năng tự động nâng cao quyền hạn cho các mẫu máy và phiên bản hệ thống khác nhau;

• Trốn thoát khỏi sandbox và đánh cắp lén lút: Vượt qua giới hạn sandbox của ứng dụng iOS, giải mã chuỗi khóa hệ thống (Keychain), thậm chí quét dữ liệu ví khác và ghi chú hệ thống trên cùng máy, gửi lén lút khóa riêng về máy chủ của hacker.

Giao diện tải xuống iOS của FomoPeek trước đây

Sự kiện ác tính này đã phá vỡ ảo tưởng an toàn của "ứng dụng iOS" trong tiền điện tử, đồng thời phơi bày một thực tế tàn khốc: Cuộc chiến trong rừng tối của tiền điện tử đã một lần nữa nâng cấp. Bạn cần cập nhật một phương pháp bảo vệ khóa riêng.

02 / Phân tích toàn bộ chuỗi "tấn công xã hội" mới của hacker

Những phương pháp lừa đảo truyền thống mà hacker thường sử dụng như "airdrop giả, dịch vụ khách hàng giả, tài khoản Twitter giả" hiện đã khó lừa được những người chơi lâu năm. Do đó, nhóm hacker đã chuyển trọng tâm tấn công sang một chuỗi kỹ thuật xã hội học (Social Engineering) cao cấp hơn:

🔗 Đầu tư vào KOL ──> Ra mắt chương trình hoàn tiền và chức năng thực tế ──> Người dùng tải xuống điện thoại ──> Lợi dụng lỗ hổng hệ thống điện thoại để lấy cắp khóa riêng

Giai đoạn 1⃣: "Mua lại" tài sản uy tín của KOL

Nhiều blogger và KOL không có khả năng phân tích ngược hoặc kiểm toán mã, khi đối mặt với ngân sách quảng cáo hàng nghìn hoặc hàng chục nghìn USD, họ cũng dễ dàng mất cảnh giác. Các nhà đầu tư nhỏ thấy các nhà nghiên cứu, nhà giao dịch mà họ theo dõi lâu nay đều đang tweet giới thiệu, hàng rào tâm lý lập tức bị phá vỡ: "Các bậc thầy đều đang sử dụng, chắc chắn không có vấn đề gì."

Giai đoạn 2⃣: Dùng "chức năng thực tế + hoàn tiền nhỏ" làm mồi nhử

Các trang web lừa đảo trước đây chỉ cần mở ra là thấy trang web độc hại, nhưng ứng dụng độc hại lần này không chỉ có chức năng thực tế mà còn đi kèm với "cơ chế hoàn tiền mời gọi". Các nhà đầu tư nhỏ, dưới sự cám dỗ của "có thể theo dõi thị trường và kiếm vài chục USD hoàn tiền mỗi ngày", đã hoàn toàn mất cảnh giác với quyền hạn của phần mềm.

Giai đoạn 3⃣: Phát hành "thuốc độc kỹ thuật" khi lòng tin đạt đỉnh

Hacker không tấn công ngay trong ngày đầu tiên, mà chờ đợi số lượng cài đặt tăng lên và tài sản của mục tiêu tích lũy. Mã độc thậm chí không cần phải ở lại giao diện chính, mà lén lút trốn khỏi sandbox, đọc chuỗi khóa, tìm kiếm ghi chú cục bộ, và mang đi khóa riêng của người dùng.

03 / Hướng dẫn cốt lõi: Hướng dẫn bảo vệ khóa riêng Web3 tối ưu

Vì các mánh khóe của hacker và lỗ hổng hệ thống 0-Day rất khó phòng ngừa, người chơi bình thường nên tự bảo vệ mình như thế nào?

⭐ Câu trả lời rất đơn giản, nhưng cũng rất khó: Bảo vệ tốt khóa riêng của bạn.

Xây dựng hệ thống "phòng thủ đa lớp và cách ly vật lý", đảm bảo rằng ngay cả khi bị một số KOL dẫn dắt sai, ngay cả khi tải xuống ứng dụng độc hại, hacker cũng không thể tiếp cận khóa riêng của chúng ta về mặt vật lý.

1⃣ Phòng tuyến đầu tiên: Chú trọng vệ sinh thiết bị và hệ thống

Lý do cơ bản khiến cuộc tấn công FomoPeek thành công là do lỗ hổng của hệ thống iOS bị khai thác. Huyền thoại sinh thái của Apple cũng đã lộ ra điểm yếu trong sự kiện này.

👇 Sự thất bại và sai sót của iOS

• Cơ chế kiểm tra không hoạt động: Nhiều người tin rằng "tất cả ứng dụng có thể lên App Store đều an toàn", nhưng hacker đã dễ dàng vượt qua kiểm tra thủ công và tự động của Apple bằng cách phát hành lệnh động, ẩn giấu các mô-đun kinh doanh thứ cấp, để ứng dụng độc hại có mã tấn công hạt nhân lưu thông trong cửa hàng chính thức.

• Phản ứng và sửa chữa lỗ hổng chậm chạp: "Cách ly sandbox" mà iOS lâu nay tự hào không phải là không thể phá vỡ. Nhiều lỗ hổng hạt nhân mà hacker khai thác đã được lưu truyền trong dark web hoặc trong cộng đồng an ninh từ lâu, trong khi Apple không tích cực phát hành bản vá bảo mật cho các phiên bản hệ thống cũ, dẫn đến nhiều iPhone vẫn ở phiên bản iOS cũ trở thành "máy rút tiền" của hacker.

👇 Nguyên tắc tự làm sạch môi trường thiết bị

• Giữ hệ thống luôn cập nhật, đừng ngại cập nhật: Trong Web3, mỗi lần cập nhật phiên bản nhỏ của hệ thống thực chất là để sửa chữa chuỗi tấn công hạt nhân 0-Day / N-Day mà hacker đang khai thác. Duy trì ở phiên bản cũ đồng nghĩa với việc đi chân trần trong rừng tối vào ban đêm.

• Không tải xuống ứng dụng không rõ nguồn gốc: Bất kỳ công cụ theo dõi nào không cần thiết, không nổi bật, không mã nguồn mở, đều không được cài đặt trên điện thoại chính có tài sản; càng nghiêm cấm cài đặt các "tệp cấu hình (Mobileconfig)" hoặc ứng dụng ký doanh nghiệp không rõ nguồn gốc.

• Không jailbreak: Jailbreak đồng nghĩa với việc tự động đóng cửa an toàn cuối cùng của hệ điều hành.

2⃣ Phòng tuyến thứ hai: Cụm từ khôi phục "không bao giờ để lại dấu vết số"

Một đặc điểm lớn của nhiều phần mềm độc hại là quét ghi chú không được mã hóa cục bộ. Nhiều nạn nhân tự cho rằng "không gửi cụm từ khôi phục cho ai", nhưng thực tế để tiện lợi, họ đã lưu 12 từ vào mật khẩu cục bộ, ghi chú, album ảnh hoặc phần mềm trò chuyện trên iPhone.

👇 Hành vi "trần trụi" phải bị cấm

• ❌ Chụp màn hình / chụp ảnh lưu vào album: Album ảnh hiện đại có tính năng nhận diện văn bản OCR và đồng bộ đám mây tự động, rất dễ bị ứng dụng có quyền truy cập đánh cắp;

• ❌ Lưu vào ghi chú, Notion, ổ đĩa đám mây, nháp email: Chỉ cần sandbox của thiết bị bị xâm nhập, các tệp này đều là văn bản không mã hóa;

• ❌ Gửi đến "Trợ lý truyền tệp" WeChat hoặc "Tin nhắn đã lưu" TG;

• ❌ Sao chép và dán cụm từ khôi phục giữa máy tính và điện thoại: Phần mềm gõ, kịch bản theo dõi clipboard có thể lấy nội dung clipboard trong vài mili giây.

👇 Cách sao lưu vật lý đúng quy cách

• ✅ Sao chép tay ngoại tuyến: Trong không gian riêng tư không có camera, viết tay lên thẻ giấy, kiểm tra lại hai lần;

• ✅ Bảng nhớ kim loại (Crypto Steel): Đối với tài sản cốt lõi, giấy dễ bị ẩm và ăn mòn. Sử dụng bảng chữ cái bằng thép không gỉ hoặc hợp kim titan để đóng dấu và bảo quản, chống cháy, chống nước, chống ăn mòn, lưu giữ ở hai nơi khác nhau.

3⃣ Phòng tuyến thứ ba: Phân tầng tài sản và "máy chuyên dụng"

Đặt tất cả tài sản vào cùng một ví điện thoại để chơi công cụ mới, giống như đi trên phố đông với vàng trên người. Do đó, cũng cần thiết phải thiết lập cách ly tài chính ở cấp độ vật lý.

👇 Thực hiện cấu trúc tài sản "3:5:2"

【Lưu trữ lạnh / Kho tiền】 70%~80% tài sản lớn ──> Ví lạnh phần cứng / Safe đa chữ ký, khóa riêng không bao giờ tiếp xúc với mạng, không bao giờ tham gia ủy quyền hàng ngày │

【Chuyển tiếp tương tác / Kho ấm】 15%~20% tài sản trung hạn ──> PC độc lập sạch sẽ, chỉ tương tác với các giao thức chính đã được kiểm toán hàng đầu │

【Ủy quyền chuyên dụng / Kho nóng】 5%~10% tài sản giao dịch ──> Máy dự phòng độc lập / Ví nóng, chỉ dùng để chơi công cụ mới, thử nghiệm công cụ mới, kiếm lợi nhuận │

📱 Thiết lập "máy thử độc", thực hiện cách ly môi trường vật lý

• Máy chính tài sản (máy kho): Chỉ cài đặt hệ điều hành gốc của điện thoại, trình xác thực chính thức, ứng dụng ví phần cứng. Quyết không cài đặt bất kỳ phần mềm theo dõi nhỏ nào, plugin hỗ trợ, kịch bản chạy trước, không tham gia vào các nhóm lộn xộn.

• Máy thử độc (máy dự phòng): Chuẩn bị một máy dự phòng không sử dụng, chuyên dùng để lướt Twitter, trải nghiệm công cụ mới được KOL giới thiệu, chạy bot hoàn tiền, v.v. Máy này ngay cả khi sandbox bị xâm nhập, bị hacker chiếm đoạt hoàn toàn, cũng chỉ có vài chục USD tiền giao dịch, tài sản lớn vẫn an toàn.

4⃣ Phòng tuyến thứ tư: Giảm quyền và phòng thủ chữ ký

Ngay cả khi khóa riêng không bị đánh cắp, hacker lừa đảo cũng có thể cướp tài sản bằng cách lừa chữ ký.

👇 Phân biệt rõ loại chữ ký:

• Transfer là chuyển tiền trực tiếp;

• Approve là cấp quyền cho hợp đồng thông minh cụ thể (cấm mở quyền Unlimited cho các giao thức không rõ nguồn gốc);

• Permit / Permit2 là chữ ký ủy quyền ngoại tuyến không cần Gas, trang web lừa đảo thích giả mạo thành "kết nối ví" hoặc "nhận airdrop", trước khi ký cần xem rõ Spender (bên được ủy quyền) và hạn mức trừ tiền.

👉 Sử dụng plugin mô phỏng giao dịch: Cài đặt Rabby Wallet hoặc các plugin trình duyệt Scam Sniffer, Pocket Universe, để xem rõ mô phỏng biến động tài sản trước khi nhấp vào;

👉 Thường xuyên dọn dẹp quyền hạn (Revoke): Truy cập Revoke.cash hàng tuần hoặc hàng tháng để dọn dẹp quyền hạn của các giao thức không sử dụng lâu dài.

5⃣ Phòng tuyến thứ năm: Tự kiểm tra trong giao tiếp hàng ngày

Trong rừng tối, phòng thủ tốt nhất là kiểm soát tay. Mỗi lần bị KOL giới thiệu dự án mới, bị cám dỗ bởi hoàn tiền cao, chuẩn bị tải ứng dụng mới hoặc nhấp vào chữ ký, cần phải hoàn thành tự kiểm tra qua ba bước sau:

👇 Nhận diện bẫy xã hội

• Kiểm tra tần suất quảng bá: Công cụ này có bất ngờ được nhiều KOL quảng bá trong 1--2 ngày không?

• Xem logic thương mại: Nó có sử dụng hoàn tiền cao, dụ dỗ người mới để che giấu mô hình lợi nhuận thực sự không?

• Phá bỏ ảo tưởng chứng thực: Luôn nhớ rằng "KOL chỉ đại diện cho quảng cáo", DYOR.

👇 Cách ly môi trường thao tác

• Máy chính một phiếu phủ quyết: Tuyệt đối không cài đặt bất kỳ ứng dụng thử nghiệm nào hoặc kịch bản trên điện thoại chính có tài sản lớn.

• Kiên trì sử dụng máy thử độc: Trải nghiệm công cụ mới, chơi hoàn tiền nhỏ, có thực sự sử dụng máy dự phòng độc lập không?

• Cảnh giác với quyền hạn nhạy cảm: Phần mềm có dụ bạn cài đặt "tệp cấu hình (Mobileconfig)" không rõ nguồn gốc, chứng chỉ ký doanh nghiệp hoặc cài đặt vượt qua cửa hàng ứng dụng không? Gặp yêu cầu này ngay lập tức dừng lại.

👇 Bảo vệ ranh giới khóa riêng

• Dọn dẹp dấu vết cục bộ: Ghi chú, album, thùng rác chụp màn hình, clipboard trên máy có được dọn dẹp hoàn toàn không, không còn bất kỳ cụm từ khôi phục nào?

• Tách biệt tài sản lớn: Tài sản cốt lõi có được lưu trữ an toàn trong ví lạnh phần cứng, và cụm từ khôi phục chưa bao giờ được nhập ngược vào điện thoại hoặc máy tính không?

• Giảm thiểu số dư ví nóng: Ví tiền tham gia giao dịch hiện tại có chỉ giữ lại số tiền giao dịch tối thiểu (nạp khi cần, bị đánh cắp cũng không đau lòng)

04 / Kết luận

Sự phi tập trung đã mang lại cho chúng ta quyền sở hữu hoàn toàn tài sản, nhưng cái giá phải trả là: Kiểm soát rủi ro của ngân hàng, bảo mật điểm bán, cuối cùng cũng do bạn tự gánh vác. Chúng ta phải chịu trách nhiệm cho ví của mình, cho tài sản trên chuỗi của mình.

Khi các phương pháp của hacker từ "lừa đảo cấp thấp" nâng cấp thành "KOL thao túng tâm lý + khai thác hạt nhân", việc tin tưởng mù quáng vào thương hiệu thiết bị hoặc sự chứng thực của người nổi tiếng đã không còn hiệu quả. Để chống lại cuộc săn lùng cao cấp này, vũ khí hiệu quả nhất không phải là công nghệ hacker phức tạp, mà là chế độ và kỷ luật đơn giản nhất:

Giữ sự hoài nghi đối với tiếp thị truyền thông xã hội, cách ly môi trường thiết bị, để cụm từ khôi phục hoàn toàn không kết nối mạng, và để tài sản lớn an toàn trong chip bảo mật.

Đừng tham lam lợi ích nhỏ, bảo vệ ranh giới khóa riêng, bạn mới có thể đi qua rừng tối của Web3 mà không bị tổn hại.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.