MetaMask phủ nhận việc gửi đi một tin nhắn on-chain đang lan truyền rộng rãi, có nội dung chế giễu Jaredfromsubway – nhà điều hành MEV trên Ethereum vừa bị rút 15 triệu USD do sập bẫy honeypot.
Ví MetaMask đã làm rõ rằng tin nhắn này thực chất đến từ một địa chỉ Ethereum Name Service (ENS) giả mạo, chứ không phải bất kỳ địa chỉ chính thức nào của họ. Sự nhầm lẫn này đã để lộ ra một điểm yếu trong cách mà tên ENS được hiển thị trên hầu hết các nền tảng.
Vụ giả mạo ENS phía sau sự nhầm lẫn về tên MetaMask
Phần lớn các nền tảng đều chuyển tên ENS sang chữ thường trước khi hiển thị. Cách làm này khiến cho một chi tiết quan trọng bị che giấu: “MetaMask.eth” viết hoa và “metamask.eth” chữ thường sẽ trông như nhau đối với đa số người dùng, dù thực chất hai tên này trỏ về hai địa chỉ hoàn toàn khác trên blockchain.
Cái tên giả mạo này thậm chí còn phản hồi lại lời đe dọa kiện tụng của Jaredfromsubway, cho rằng vụ kiện sẽ không thắng trước tòa. MetaMask đã xác nhận trên X rằng họ không liên quan đến tin nhắn này.
MetaMask làm rõ vai trò của mình sau vụ tấn công Jaredfromsubway
Jaredfromsubway đã đề nghị tin tặc thỏa thuận “white hat”, hoàn trả 50% số tiền trong vòng 48 tiếng đồng hồ và cảnh báo sẽ nhờ đến pháp luật nếu không trả lại số tiền. Vụ bot MEV trên Ethereum bị rút tiền đã tạo làn sóng chú ý lớn trong cộng đồng DeFi, khiến sự việc trở thành mục tiêu hấp dẫn của những kẻ mạo danh.
Đến nay, hacker vẫn không có ý định chấp nhận thỏa thuận. Theo dữ liệu on-chain, trong số 7.5 triệu USD bị đánh cắp thì 5.1 triệu USD đã được chuyển vào Tornado Cash. Hacker đã gửi vào dưới dạng 2,000 ETH, chia làm 20 giao dịch nhỏ, mỗi giao dịch 100 ETH. Số ETH còn lại (1,422 ETH) đã được hoán đổi sang 2.44 triệu USD DAI, theo một nhà phân tích blockchain.
Cuộc tấn công honeypot nhắm vào bot MEV đã đặt ra những câu hỏi mới về rủi ro mà các nhà vận hành MEV phải đối mặt trong môi trường cạnh tranh gay gắt. Tuy nhiên, sự cố giả mạo MetaMask lại là vấn đề khác, không liên quan đến kỹ thuật MEV, mà là lỗ hổng của hệ thống đặt tên ENS – điều mà bất cứ ai dùng Ethereum cũng có thể gặp.
Khoảng trống thiết kế ENS đặt người dùng Ethereum vào rủi ro
ENS quy định chuẩn hóa tất cả ký tự viết hoa thành chữ thường. Điều này khiến các tên ENS trở nên không phân biệt hoa/thường khi hiển thị, nhưng thực tế khi đăng ký thì các tổ hợp chữ hoa – chữ thường khác nhau vẫn được coi là các tên riêng biệt. Vì vậy, người xấu có thể đăng ký “MetaMask.eth” với chữ in hoa và đó vẫn là tên hợp lệ với quyền sở hữu hợp pháp.
ENS không hạn chế việc đăng ký các tên chỉ khác nhau về chữ hoa/thường so với tên đã tồn tại. Những kẻ tấn công hoàn toàn có thể lấy sẵn tên gần giống này và kích hoạt để mạo danh vào thời điểm các sự kiện nổi bật diễn ra. Làn sóng hack crypto trong tháng 06/2024 vừa qua đã cho thấy nhiều chiêu trò lừa đảo tương tự gắn liền với các sự kiện công khai.
Xu hướng thường thấy trong vấn đề bảo mật DeFi
Trong khi đó, các nỗ lực đảm bảo an ninh tiền mã hóa ở cấp điều hành chủ yếu tập trung vào chuẩn mã hóa. Những lỗ hổng ở khâu hiển thị tên lại nằm ngoài phạm vi kiểm soát này, buộc các nhà phát triển giao diện và nhà cung cấp ví phải tự chủ động xử lý thay vì trông chờ vào quy định chung.
Sự cố MetaMask là một ví dụ cho xu hướng chung của DeFi: kẻ tấn công luôn tận dụng khoảng cách giữa những gì giao diện hiển thị và thực tế các giao thức thực thi. Các vụ thiệt hại trong lending DeFi cũng là biểu hiện của hiện tượng này ở mức độ cấu trúc. Cho đến khi ngành công nghiệp khắc phục triệt để các kẽ hở này, những vụ giả mạo thông tin ở tầng hiển thị sẽ vẫn là hình thức tấn công vừa dễ thực hiện, vừa mang lại lợi ích lớn cho kẻ gian.
