Nhà nghiên cứu báo cáo lỗi trong Cake Wallet cho phép chuyển hướng thanh toán bitcoin

• Theo báo cáo của ông, lỗi này ảnh hưởng đến các ví Bitcoin trong các phiên bản 6.4.4 và 6.5.0.
• Cuộc tấn công giả định yêu cầu một máy chủ độc hại hoặc một trung gian trong mạng.

Một nhà nghiên cứu an ninh có bút danh "floppy" đã công bố vào ngày 24 tháng 10 một báo cáo về một lỗi được cho là trong Cake Wallet, một ví di động mã nguồn mở. Theo báo cáo, lỗi này sẽ cho phép chuyển hướng thanh toán bitcoin về phía một kẻ tấn công khi người dùng tăng tốc một giao dịch đang chờ xử lý. Công ty chưa đưa ra bình luận về báo cáo này.

Kịch bản mà nhà nghiên cứu mô tả là cụ thể: người dùng gửi bitcoin, giao dịch không được xác nhận và quyết định trả thêm để nó được xử lý sớm hơn. Chức năng này, được gọi là RBF (thay thế bằng phí), tạo ra một bản sao của giao dịch với mức phí cao hơn thay thế cho bản gốc.

Theo báo cáo, để tạo ra bản sao đó, Cake Wallet không sử dụng các bản ghi của riêng mình. Nó yêu cầu dữ liệu từ một máy chủ Electrum, thiết bị từ xa mà ứng dụng kết nối để tham khảo mạng mà không cần tải xuống toàn bộ. Nhà nghiên cứu khẳng định rằng ứng dụng sẽ không kiểm tra xem những gì nhận được có khớp với những gì đã yêu cầu hay không.

Nói một cách đơn giản, điều này giống như yêu cầu một bên thứ ba sao chép một tấm séc để in lại và ký mà không kiểm tra tên của người thụ hưởng. Nếu máy chủ thay đổi địa chỉ của người nhận thành địa chỉ của nó, ví sẽ ký như thường và thanh toán sẽ rơi vào tay kẻ tấn công.

Ai có thể tận dụng, theo báo cáo

Nhà nghiên cứu xác định hai hồ sơ của kẻ tấn công. Người đầu tiên sẽ là người điều hành máy chủ mà ứng dụng sử dụng. Nó có thể là nút mặc định của Cake Wallet, một bên thứ ba hoặc một nút tùy chỉnh mà người dùng đã chọn.

Người thứ hai sẽ là một trung gian trong mạng, chẳng hạn như trong một wifi công cộng. Tác giả khẳng định rằng điều này là khả thi vì ứng dụng sẽ chấp nhận bất kỳ chứng chỉ bảo mật nào, tức là sẽ không kiểm tra xem máy chủ có phải là người mà nó nói hay không. Theo báo cáo, chế độ Tor tích hợp của Cake thực sự thực hiện kiểm tra này, vì vậy con đường này sẽ bị đóng lại.

Nhà nghiên cứu cũng cho biết rằng người dùng sẽ không có cách nào để nhận ra điều này. Nếu máy chủ trả lời trung thực cho truy vấn đầu tiên và thay đổi các truy vấn tiếp theo, màn hình xác nhận sẽ hiển thị giống như một sự tăng tốc hợp pháp.

Những gì cần xác nhận thêm

Báo cáo bao gồm một thử nghiệm khái niệm mà theo tác giả, đã được thực hiện trên một mạng thử nghiệm Bitcoin cục bộ. Trong môi trường đó, tác giả khẳng định, sự thay thế giả mạo đã được chấp nhận và xác nhận, với thanh toán được gửi đến địa chỉ của kẻ tấn công.

Tuy nhiên, chính tác giả cũng làm rõ rằng ông không thực hiện nó chống lại ứng dụng được cài đặt trên một thiết bị. Cũng không có ghi chép nào về việc bị đánh cắp, mặc dù bài đăng của ông trên X nói trực tiếp về "đánh cắp qua RBF". Hiện tại, lỗi này chưa được bên thứ ba xác minh cũng như chưa được Cake Wallet công nhận.

Tác giả cũng tuyên bố rằng ông đã sử dụng các công cụ trí tuệ nhân tạo để nghiên cứu lỗi, tạo thử nghiệm và soạn thảo báo cáo. Thông tin này càng làm cho một cuộc xem xét độc lập về báo cáo trở nên quan trọng hơn trước khi công nhận nó.

Vụ việc có một sự tương phản. Trước một vụ đánh cắp gần đây ảnh hưởng đến một ví khác, Cake đã khẳng định trên diễn đàn chính thức của mình rằng họ đã kiểm toán loại mã này trong nhiều năm. Họ cũng cho biết rằng đã tăng cường các cuộc kiểm tra này với các mô hình AI.

Một điểm khác là thời gian. Nhà nghiên cứu đã công bố báo cáo năm ngày sau khi gửi nó và cáo buộc đội ngũ đang bận rộn hơn với marketing. Thời gian này ngắn hơn nhiều so với 90 ngày thông thường trong việc công bố có trách nhiệm về các lỗ hổng.

Các biện pháp phòng ngừa trong thời gian chờ đợi

Báo cáo đề xuất rằng ứng dụng kiểm tra rằng giao dịch nhận được tương ứng với giao dịch đã yêu cầu và hiển thị trên màn hình những gì thực sự sẽ ký. Trong khi Cake Wallet chưa đưa ra bình luận, người dùng muốn cẩn thận có thể:

• Tránh tùy chọn tăng tốc phí (Bump fee) trong các giao dịch đang chờ xử lý.
• Kích hoạt chế độ Tor của ứng dụng.
• Kết nối với một máy chủ Electrum riêng hoặc đáng tin cậy.

Bất kể vụ việc kết thúc như thế nào, báo cáo nhắc nhở rằng một ví nhẹ phụ thuộc vào các máy chủ bên ngoài để xem mạng, và rằng mỗi dữ liệu mà nó không xác minh là một dữ liệu mà nó tin tưởng. Nếu lỗi được xác nhận, điểm yếu sẽ không nằm ở mật mã, mà ở sự tin tưởng đó.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.