Người sáng lập Nexus Mutual viết: Đây là cách 370.000 token NXM bị tin tặc đánh cắp

Tác giả gốc: Hugh Karp, người sáng lập Nexus Mutual

Nguồn gốc: Lianwen

Ghi chú của biên tập viên : Nếu có thêm thông tin được cập nhật, nội dung của bài viết này sẽ được điều chỉnh trong thời gian thích hợp.

Nền thời gian

Tiêu chuẩn thế giới Vào lúc 9:40 sáng Thứ Hai, ngày 14 tháng 12, tôi bị lừa phê duyệt một giao dịch có tổng trị giá 370.000 mã thông báo NXM. Ban đầu tôi nghĩ rằng giao dịch này là tiền thưởng khai thác của riêng tôi, nhưng hóa ra nó được gửi trực tiếp cho hacker. Sau đó, hacker đã thanh lý và đổi số token NXM bị đánh cắp thành Bitcoin và Ethereum, sau đó phân tán số tiền này đến các địa chỉ và sàn giao dịch khác nhau .

Tôi đang sử dụng Kết nối với Ví Metamask của Ledger và tương tác thông qua ứng dụng Nexus Mutual. Máy tính là hệ điều hành Windows. Khóa riêng trên Ledger hiện vẫn an toàn. Hợp đồng thông minh và quỹ của Nexus Mutual không bị ảnh hưởng nên về cơ bản có thể đánh giá rằng lần này Nó chỉ nên tấn công cá nhân.

Cốt truyện của vụ việc cho đến nay

Trong mục tiêu này Trong về cuộc tấn công, chúng tôi đại khái biết những điều sau:

Vào khoảng 10:20 UTC ngày thứ Sáu, ngày 11 tháng 12, tôi đang viết email thì đột nhiên màn hình máy tính tối đen trong 2-3 giây nhưng nó phục hồi nhanh chóng, lúc đó tôi tưởng máy tính có chuyện gì đó lạ nên không để ý lắm.

Khoảng một giờ sau, khoảng 11:20 UTC ngày thứ Sáu, ngày 11 tháng 12, ổ đĩa của tôi bị nhiễm phiên bản bị tấn công của tiện ích mở rộng ví Metamask được thay thế. Bạn có thể tìm thấy thông tin chi tiết tại đây và tệp Background.js.

Tôi thực sự đã không giao dịch tiền điện tử thông qua tiện ích mở rộng ví Metamask cho đến thứ Hai, ngày 14 tháng 12.

Vào Thứ Hai, ngày 14 tháng 12 lúc 9:40 sáng UTC, tôi muốn truy cập ứng dụng Nexus Mutual để rút một số mã thông báo phần thưởng khai thác của mình. Như thường lệ, MetaMask hiện lên thông báo xác nhận yêu cầu rút tiền, điều này thực ra không có gì đáng ngạc nhiên vì thông báo xác nhận hiện lên cho mọi giao dịch và mọi thứ trông vẫn bình thường. Vấn đề là, xác nhận này chứa một giao dịch gian lận được gửi tới Ledger. Kết quả là tôi đã nhấp vào "Xác nhận".

Giao dịch nhanh chóng xuất hiện trên Ledger, tôi kiểm tra thông tin giao dịch và nhấn "Chấp thuận". Trên thực tế, nếu tôi kiểm tra địa chỉ "người nhận" và các thông tin giao dịch khác vào lúc này, tôi có thể phát hiện ra vấn đề, tuy nhiên, do Ledger không hỗ trợ trực tiếp NXM nên thông tin giao dịch mặc định không bao gồm người nhận và các thông tin liên quan khác. Đọc thông tin.

Sau đó, tôi nhận được thông báo MetaMask cho tôi biết rằng giao dịch đã hoàn tất nhưng ứng dụng Nexus Mutual vẫn đang chờ xác nhận giao dịch và tôi nhận ra rằng có gì đó không ổn Vì vậy, tôi đã kiểm tra Etherscan và phát hiện ra rằng số tiền đã được chuyển đến địa chỉ của hacker.

Nhìn lại, sai lầm tôi mắc phải là ở bước 5 nêu trên, tôi nên cẩn thận hơn khi giao dịch, có thể nói vụ hacker trộm cắp này hoàn toàn là lỗi của tôi. của riêng.Trách nhiệm. Nhưng tôi sẽ chỉ ra rằng trừ khi bạn là người rất quen thuộc với công nghệ tiền điện tử, nếu không bạn sẽ khó xem xét cẩn thận các thông tin liên quan khi chuyển tiền vì xét cho cùng, thông tin ở định dạng thập lục phân rất khó đọc. Cá nhân tôi thực sự có đủ kiến thức kỹ thuật và hiểu ý nghĩa của thông tin này, nhưng tôi vẫn mắc lỗi nên người dùng bình thường có thể dễ dàng vấp ngã ở đây.

Ngoài ra, tôi đã nhận được mã thông báo thưởng tiền điện tử từ các trang web mà tôi tin tưởng, chẳng hạn như Nexus Mutual APP, vì tôi cảm thấy rằng giao dịch trên nền tảng chính thức sẽ hiệu quả hơn Rủi ro thấp, nhưng từ vụ hack này người ta phát hiện ra rằng dù đó có phải là trang web đáng tin cậy hay không và dù giá trị giao dịch có bao nhiêu thì thông tin cũng phải được kiểm tra kỹ lưỡng trước khi mỗi giao dịch được xác nhận.

Bây giờ, tôi dự định mở một cuộc điều tra về vụ hack này và truy tìm nguồn tiền với sự giúp đỡ của cộng đồng. Cảm ơn sự hỗ trợ của bạn! Tôi muốn cảm ơn nhiều người đã ủng hộ, đặc biệt là Sergej Kunz, Jpien Bouteloup, Harry Sniko, Richard Chen, Banteg và một số người khác mà tôi không tiện nêu tên vào lúc này.

Tóm tắt các phát hiện

Trước đây, hầu hết các vụ hack MetaMask đều liên quan đến việc lừa người dùng tải xuống phiên bản giả mạo của chương trình có chứa mã độc và sau đó Đánh cắp khóa riêng của người dùng. Nhưng lần này mọi chuyện lại khác. Máy tính của tôi đã bị hỏng và ứng dụng MetaMask trên đĩa đã bị giả mạo, nghĩa là sẽ không có thông báo cảnh báo nào nếu có sự cố với tiện ích mở rộng trình duyệt.

Chúng tôi hiểu rằng cấu hình tiện ích mở rộng độc hại này được lấy từ coinbene.team. Chúng tôi đã truy tìm một số địa chỉ IP từ tên miền này, như trong hình bên dưới:

Trình duyệt của tôi đã vào chế độ nhà phát triển, nhưng tôi không phải là nhà phát triển nên thao tác này rất có thể được thực hiện bởi hacker.

Chúng tôi đã biết về những nạn nhân khác cũng là mục tiêu tương tự và đã được liên hệ.

Cuộc tấn công này dường như có mục tiêu cao vì tin tặc đã không lấy hết số token NXM mà nạn nhân có thể có, vì vậy có vẻ như tin tặc đã nhắm mục tiêu cụ thể vào tôi trước đó. tải trọng giao dịch đã chuẩn bị được triển khai.

Dưới đây tôi sẽ liệt kê các địa chỉ hacker có liên quan nhất:

Ethereum

0xad6a4ace6dcc21c93ca9dbc8a21c7d3a726c1fb1

0x03e89f2e1ebcea5d94c1b530f638cea3950c2e2b

0x09923e35f19687a 524bbca7d42b92b6748534f25

0x0784051d5136a5ccb47ddb3a15243890f5268482

0x0adab45946 372c2be1b94eead4b385210a8ebf0b

Bitcoin:

3DZTKLmxo56JXFEeDoKU8C4Xc37ZpNqEZN

Kênh nhắn tin (?)

0x756c4628e57f7e7f8a459ec2752968360cf4d1aa

Chúng ta còn chưa biết điều gì nữa?

Trước hết, tôi không biết máy tính của mình bị xâm nhập như thế nào.

Trong tuần qua, tôi đã dành rất nhiều thời gian với các chuyên gia từ nhà cung cấp phần mềm chống vi-rút Kaspersky về các máy tính bị nhiễm để cho phép chẩn đoán đầy đủ. Nhưng vẫn chưa có kết quả và công việc vẫn đang tiếp diễn.

Hacker là ai?

Theo những gì chúng ta thấy cho đến nay, hacker này rất mạnh, nhưng nó cũng cho thấy các cuộc tấn công có khả năng sẽ tiếp tục xảy ra và ảnh hưởng đến ngày càng nhiều người. Có thể nói hacker này rất tài năng và có khả năng là một hoặc nhiều thành viên của một đội ngũ kỹ thuật lớn. Chúng tôi đã có cuộc trò chuyện ngắn với một hacker trên Telegram, dựa trên hoạt động giao dịch của họ, chúng tôi tin rằng họ đang ở múi giờ Châu Á.

Cuộc điều tra vẫn đang tiếp tục, nếu có thông tin gì, chúng tôi sẽ chia sẻ và công bố kịp thời.

Bài học rút ra

Một số người dùng quen thuộc với ngành DeFi Không phải lúc nào họ cũng tin tưởng MetaMask, thậm chí họ sẽ sử dụng máy tính "sạch" để chạy MetaMask, thiết bị này chỉ dùng để ký giao dịch và không làm gì khác.

MetaMask quả thực là mục tiêu của nhiều hacker nên tôi đã rất thận trọng khi tải các chương trình từ các nguồn hợp pháp nhưng dù vậy, máy tính của tôi vẫn bị nhiễm virus. Nếu bạn muốn tránh những vấn đề như vậy, hãy cố gắng phân bổ tiền vào các tài khoản khác nhau để giảm thiểu tổn thất. Ngoài ra, hãy luôn kiểm tra ví phần cứng của bạn để biết thông tin giao dịch trước khi ký (nói thì dễ hơn làm, đặc biệt là khi tương tác với hợp đồng thông minh).

Cho đến nay, chúng tôi chưa thu được thông tin nguồn mở về tin tặc, nhưng địa chỉ của tin tặc đã được đánh dấu trên Etherscan, mặc dù đây là bước đầu tiên trong cuộc điều tra ... Một bước quan trọng nhưng vẫn còn nhiều việc phải giải quyết sau này.

Làm gì tiếp theo?

Tôi biết có rất nhiều nhóm đang tìm kiếm các lựa chọn giao dịch tốt nhất từ cả góc độ trải nghiệm người dùng và bảo mật, nhưng với tư cách là một cộng đồng, rõ ràng chúng tôi vẫn chưa đạt được điều đó . Có một con đường dài để đi. Tôi không thể đề xuất các giải pháp khác nhưng tôi sẽ lấy một phần số tiền quyên góp được và quyên góp dưới dạng tiền thưởng để hỗ trợ trải nghiệm người dùng và cải thiện bảo mật.

Chúng tôi sẽ công bố chi tiết về khoản tiền thưởng trong tương lai. Chúng tôi tin rằng làm như vậy sẽ khuyến khích nhiều người hơn phát triển các giải pháp bảo mật ví cá nhân và thúc đẩy tiến bộ công nghệ.

Thư ngỏ gửi tin tặc

Bạn đã sử dụng các kỹ thuật rất phức tạp, không chỉ từ tôi. đã bị đánh cắp ở đây và rất nhiều tiền đã bị đánh cắp từ nhiều người khác trong cộng đồng Ethereum. Tôi biết bạn đã gửi một số tiền cho ông chủ đứng sau nên tôi không muốn lấy lại.

Như bạn đã biết, có rất nhiều hacker mũ trắng trong cộng đồng Ethereum làm việc ẩn danh và nhận được phần thưởng khổng lồ thông qua tiền thưởng, và bởi vì Một số công việc tốt đã tạo nên tên tuổi cho mình trong ngành. Dựa trên những kỹ năng mà bạn đã thể hiện, tôi nghĩ bạn chắc chắn có thể trở thành thành viên của hacker mũ trắng, để có thể kiếm tiền thông qua các phương tiện hợp pháp mà không phải gửi những khoản lợi bất chính cho ông chủ đằng sau hậu trường.

Tôi nghĩ bạn có thể sử dụng tốt những kỹ năng này và nhận được tín dụng từ cộng đồng tiền điện tử vì những lý do chính đáng.

Link nguồn: medium.com

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia