Tin tặc rút 9.400 SOL từ ví bot, một khóa sao chép bị đổ lỗi

Báo cáo tái cấu trúc của Bitquery cho biết 48 ví liên quan đến Bloom, một dịch vụ giao dịch tự động, đã mất 9.408 SOL thông qua các giao dịch được ký bởi chính khóa của các ví này.

Bloom ghi nhận một khóa bảo vệ ngăn chặn việc thay đổi địa chỉ rút tiền của người dùng, tuy nhiên một khóa sao chép có thể ủy quyền cho các giao dịch bên ngoài giao diện dịch vụ đó.

Trong bản cập nhật ngày 26 tháng 10, Bloom đã phủ nhận rằng các khóa riêng đã bị truy cập hoặc bị xâm phạm. Tài khoản này đã quy sự cố này cho một lỗ hổng thực thi mã từ xa trong một mô-đun bên thứ ba và cho biết các ví không bị ảnh hưởng là an toàn.

Sau đó vào ngày 26 tháng 10, Bloom thông báo rằng tất cả chín người dùng bị ảnh hưởng đã được hoàn tiền đầy đủ, tổng cộng là 9.408 SOL và liên kết chín giao dịch.

Điều này để lại hai vấn đề riêng biệt cho người dùng: bồi thường cho tổn thất và quyền hạn có thể chuyển tiền từ một ví.

Khóa rút tiền kiểm soát điều gì

Câu hỏi thường gặp của Bloom cho biết người dùng nên giữ địa chỉ rút tiền của họ bị khóa, nói rằng địa chỉ không thể thay đổi khi bị khóa và việc mở khóa bắt đầu một thời gian chờ 24 giờ trước khi các thay đổi được phép.

Hướng dẫn rút tiền đặt Set Address, Lock Address và Unlock Address trong menu Rút tiền, có thể truy cập từ màn hình chính hoặc thông qua lệnh /withdraw. Biện pháp bảo vệ đã được tài liệu hóa này trì hoãn việc thay thế địa chỉ được sử dụng trong quá trình đó.

Khóa này tạo ra một rào cản cho ai đó có tài khoản dịch vụ bị xâm phạm chống lại việc chuyển hướng rút tiền thông qua quá trình đó.

Trang chủ sản phẩm của Bloom mô tả các sản phẩm Extension, Manager và Telegram là chia sẻ một động cơ thực thi. Khi cùng một khóa ví được sử dụng qua một giao diện khác, nó giữ nguyên quyền hạn đối với các quỹ.

Bitquery báo cáo rằng các lần rút hoàn toàn diễn ra từ 01:03:07 đến 01:04:41 UTC vào ngày 26 tháng 10. Nó mô tả mỗi lần như một giao dịch SOL đơn giản chỉ được ký bởi khóa của ví bị ảnh hưởng, không có người ký thứ hai hoặc sự chấp thuận của mã thông báo nào liên quan.

Tài liệu giao dịch của Quỹ Solana giải thích rằng một giao dịch mang theo các hướng dẫn, chữ ký từ các tài khoản ủy quyền cho các thay đổi và một blockhash gần đây. Hướng dẫn ký của nó cho biết mỗi người ký cần thiết phải cung cấp một chữ ký hợp lệ.

Đối với một ví được kiểm soát bởi một khóa riêng, việc sở hữu khóa đó cho phép kiểm soát các quỹ của nó. Một kẻ tấn công đã sao chép nó có thể tạo ra một giao dịch mới đến một địa chỉ khác mà không cần thay đổi địa chỉ rút tiền đã được lưu trong dịch vụ giao dịch.

Khóa rút tiền 24 giờ của Bloom chặn các thay đổi địa chỉ, nhưng một khóa riêng sao chép vẫn có thể ủy quyền cho các giao dịch từ một ví thông thường.

Hướng dẫn của Solana phân biệt việc giữ một khóa cục bộ với việc yêu cầu chữ ký thông qua một backend quản lý khóa hoặc ví được quản lý. Một chữ ký của khóa chủ sở hữu hợp lệ có thể tương thích với vật liệu khóa sao chép hoặc lạm dụng một đường dẫn ký.

Các chữ ký của khóa chủ sở hữu được mô tả bởi Bitquery nằm bên cạnh sự phủ nhận của Bloom về việc xâm phạm khóa riêng. Việc xác định đường dẫn ký nào đã bị lạm dụng sẽ xác định xem sự cố có liên quan đến một bí mật sao chép hay truy cập vào một hệ thống có thể ký với nó hay không.

Nơi quyền hạn ký vẫn tồn tại

Tuổi của các ví bị ảnh hưởng mang lại cho sự cố một hậu quả vượt ra ngoài những người dùng bot đang hoạt động. Bitquery phát hiện rằng 24 trong số 48 ví đã không trả bất kỳ phí giao dịch nào cho Bloom trong tháng trước, trong khi năm ví đã trả phí lần cuối giữa tháng 1 và tháng 5 năm 2025.

Bitquery đã liên kết tất cả 48 ví với Bloom thông qua các khoản thanh toán phí trước đó và nhóm chúng thành chín nhà giao dịch. Nó thừa nhận rằng hai trong số các nhóm đó chủ yếu dựa vào đơn đặt hàng rút tiền.

Nếu ai đó đã sao chép khóa kiểm soát của nó, một khoảng thời gian dài không giao dịch không ngăn cản họ ký một giao dịch mới khi quỹ vẫn còn ở đó.

Sự rút tiền riêng biệt TradeWiz cung cấp một ví dụ cũ về sự tiếp xúc ký liên tục, mà không thiết lập một nguyên nhân chung với Bloom. Bitquery ghi ngày chính của sự rút tiền vào ngày 30 tháng 9 và đếm 20.793 ví đã bị rút SOL.

Các giao dịch bot trả phí đã dừng lại 41 phút sau khi bắt đầu sự rút tiền, nhưng Bitquery báo cáo rằng bot đã lấy 73% SOL của sự rút tiền chính sau đó.

Nó cũng báo cáo rằng hai địa chỉ TradeWiz bị rút tiền đã nhận được các khoản gửi mới và lại bị rút sạch trong vòng bốn giây. Việc gửi vào một địa chỉ sau khi khóa kiểm soát của nó đã bị lộ có thể đặt các quỹ mới dưới quyền hạn của cùng một kẻ tấn công.

Nếu một khóa kiểm soát duy nhất đã bị lộ, việc di chuyển tài sản đến một ví mới được quản lý bởi một khóa không bị xâm phạm sẽ đưa các tài sản đó ra ngoài quyền hạn của khóa cũ.

Giữ khóa mới bên ngoài bất kỳ môi trường ký nào mà kẻ tấn công vẫn có thể sử dụng, vì việc nhập cùng một bí mật vào một ứng dụng khác sẽ giữ nguyên quyền hạn đó, cũng như việc trả lại quỹ vào địa chỉ cũ.

Thay đổi quyền truy cập vào một dịch vụ và thay đổi quyền kiểm soát đối với tài sản có những tác động khác nhau. Một khóa đích vẫn có thể bảo vệ quy trình rút tiền của dịch vụ, trong khi một sửa chữa bên dịch vụ có thể giải quyết một đường dẫn ký bị xâm phạm. Không hành động nào có thể xóa một bản sao của một khóa riêng đã được giữ ở nơi khác.

Trong lời hứa hoàn tiền của mình, Bloom cho biết các quỹ sẽ được chuyển đến các ví an toàn được chỉ định bởi người dùng bị ảnh hưởng, và thông báo sau đó của nó cho biết đã hoàn tất việc hoàn tiền.

Đối với người dùng đánh giá một ví bot cũ, sự phân biệt chính là liệu họ đã thay đổi nơi họ đăng nhập hay quyền hạn quản lý tài sản. Khi một khóa đã bị sao chép, một giao diện mới để lại sự tiếp xúc cũ ở nguyên vị trí. Một khóa mới không bị xâm phạm thay đổi ai có thể ủy quyền cho giao dịch tiếp theo.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.