Chính thức thông báo đều có thể biến thành công cụ di chuyển, thật là phi lý trong thời đại này. Vào ngày Giáng sinh, một đợt người dùng Trust Wallet đã chứng kiến cảnh ví của họ bị chuyển đi Bitcoin, Ethereum, Solana trong vòng vài phút, giống như ai đó trực tiếp mang đi tất cả đồ đạc ngay trước cửa nhà bạn. Thiệt hại do vụ hacker này gây ra khoảng 7 triệu USD, nhưng điều thực sự đau lòng là: cái gọi là bảo vệ an toàn ví không quản lý thực ra chỉ dựa trên những lời hứa ảo tưởng.

Chuyện xảy ra như thế nào

Ngày 24 tháng 12, Trust Wallet đã cập nhật phiên bản v2.68 cho người dùng Chrome Extension. Trông có vẻ chỉ là bảo trì thường lệ, nhưng thực tế hacker đã chèn vào đó một script độc hại tên là "4482.js". Người dùng chỉ cần nhập seed phrase trong tiện ích mở rộng, script này sẽ âm thầm gửi thông tin khóa riêng của bạn đến tên miền giả api.metrics-trustwallet.com do hacker kiểm soát.

Toàn bộ quy trình tấn công cực kỳ chính xác:

Ngày 8 tháng 12, hacker đã đăng ký tên miền giả mạo
Ngày 22 tháng 12, phiên bản độc hại âm thầm ra mắt
Ngày 24-25 tháng 12, hàng trăm ví người dùng sau khi mở khóa hoặc nhập seed phrase đã bị xóa sạch ngay lập tức

Có một người dùng đã đăng trên mạng xã hội: "Tôi chỉ nhập seed phrase, chưa đầy 10 phút, 300.000 USD đã biến mất rồi!" Điều này không còn đơn thuần là vấn đề kỹ thuật nữa, mà là một cú phản đòn trước toàn bộ hệ sinh thái bảo mật ví.

Tại sao kênh chính thức lại trở thành điểm đột phá

Đây mới là điều cay đắng nhất. Người dùng tin tưởng vào cập nhật chính thức vì nó đến từ nguồn chính thống. Nhưng chính lòng tin đó lại bị lợi dụng. Một khi bạn tải xuống tiện ích mở rộng bị nhiễm độc từ cửa hàng Chrome chính thống, gần như không thể phòng tránh. Dù ví có mạnh mẽ đến đâu cũng không cứu nổi bạn, vì vấn đề nằm ở chuỗi cung ứng.

Mỗi lần xảy ra sự kiện như vậy đều nhắc nhở chúng ta về một vấn đề cũ trong lĩnh vực tài sản mã hóa: phân tán không đồng nghĩa với an toàn, ví không quản lý cũng không phải là tất cả. Yếu tố con người, hệ thống, thậm chí chính kênh chính thức đều có thể trở thành điểm yếu. Việc bảo quản khóa riêng và seed phrase vẫn là ưu tiên hàng đầu, nhưng đến bao giờ chúng ta mới thực sự có thể làm điều này không rủi ro tuyệt đối?