SlowMist: Cảnh báo tấn công chỉnh sửa quyền Owner ví Solana

Ngày 3 tháng 12, đội ngũ bảo mật SlowMist đã phát hành một cảnh báo an ninh liên quan đến một trường hợp tấn công lừa đảo. Gần đây, một người dùng đã bị tấn công phishing, quyền Owner của tài khoản đã bị chuyển đi, khi cố gắng thu hồi quyền ủy quyền thì không thể thực hiện được. Người dùng này đã bị đánh cắp tài sản trị giá hơn 3 triệu đô la Mỹ, ngoài ra còn có tài sản trị giá khoảng 2 triệu đô la Mỹ được lưu trữ trong các giao thức DeFi nhưng không thể chuyển đi (hiện tại phần tài sản trị giá khoảng 2 triệu đô la Mỹ này đã được giải cứu thành công với sự hỗ trợ của bên liên quan trong DeFi). Cuộc tấn công này không phải là “ủy quyền bị đánh cắp” theo nghĩa truyền thống, mà là quyền cốt lõi (quyền Owner) đã bị kẻ tấn công thay thế, dẫn đến việc nạn nhân không thể chuyển tiền, thu hồi ủy quyền hoặc thao tác với tài sản DeFi, tài sản “hiển thị bình thường” nhưng thực tế đã không còn kiểm soát được. Kẻ tấn công đã lợi dụng hai tình huống phản trực giác để thành công dụ người dùng nhấp chuột: 1. Khi ký giao dịch thông thường, ví sẽ mô phỏng kết quả thực hiện giao dịch, nếu có thay đổi tài sản sẽ hiển thị trên giao diện, nhưng giao dịch do kẻ tấn công cấu trúc tinh vi lại không có thay đổi tài sản; 2. Tài khoản EOA truyền thống trên Ethereum được kiểm soát hoàn toàn bằng private key, về mặt chủ quan người dùng không nhận ra rằng Solana có tính năng cho phép thay đổi quyền sở hữu tài khoản; SlowMist nhắc nhở người dùng nên cảnh giác khi ký ủy quyền, xác nhận xem có thao tác nguy hiểm nào như thay đổi quyền Owner ẩn trong đó hay không.