Chuyên gia bảo mật cảnh báo: Dùng Metamask chơi coin rác, người dùng dễ mất sạch tiền vì một lý do khó ngờ

[june04]

Cùng với việc thị trường tiền số trở nên sôi động, nạn ăn trộm tiền ảo của người dùng cũng diễn ra ngày càng phổ biến hơn. Điều đáng chú ý là nó thường xảy ra với các loại ví điện tử phi tập trung (ví non-custodial) như Metamask, C98, Ronin, … , nơi người dùng tự sở hữu các mã khóa riêng và có toàn quyền quyết định với tài sản trong đó. Nó khác với loại ví điện tử dùng trên các sàn giao dịch tiền số.

Do loại ví điện tử này tồn tại độc lập với các sàn giao dịch nên ngay cả khi một sàn giao dịch nào đó bị hack, người dùng vẫn không bị ảnh hưởng. Cũng chính vì vậy, nếu tài sản trong loại ví này của người dùng bị mất trộm, khả năng thu hồi lại nó cũng rất thấp. Nhưng bất chấp việc người dùng nghĩ ra các loại mật khẩu phức tạp như thế nào đi nữa, có một thực tế là hacker vẫn dễ dàng vượt qua và khoắng sạch tài sản trong ví của bạn.

Thế nhưng theo chuyên gia bảo mật Lê Nguyên Khang, vấn đề không nằm ở độ khó của mật khẩu mà bạn đặt cho ví của mình, mà nằm ở thiết bị bạn dùng để lưu trữ mật khẩu cũng như cách bạn dùng ví đó như thế nào.

Một thói quen phổ biến của nhiều người dùng là cài đặt các ví điện tử đó vào trình duyệt, đặc biệt là Google Chrome để tiện cho việc sử dụng trên nhiều thiết bị khác nhau, cũng như thanh toán cho các dịch vụ khác nhau trên thị trường tiền số.

Để truy cập vào ví này trên các thiết bị khác nhau, người dùng sẽ cần có 2 loại mã khóa riêng: một mã khóa do nhà cung cấp ví, như Metamask, tạo cho người dùng, chứa từ 12 đến 24 ký tự, ngoài ra còn một loại mã khóa khác do người dùng tự đặt. Với nhiều loại mã khóa như hiện nay, người dùng thường có thói quen lưu trữ các thông tin mã khóa này trong một file văn bản nào đó ngay trên thiết bị người dùng.

Những tưởng nhiều lớp bảo vệ này sẽ khiến bạn hoàn toàn yên tâm giao dịch tiền số trên internet, nhưng theo ông Khang, hacker có nhiều cách để lấy được những thông tin bảo vệ tài khoản của bạn và khoắng sạch số tài sản trong đó. Đó là tấn công bruteforce vào trình duyệt để xem được các mật khẩu lưu trong đó, vượt qua được bước này, hacker bắt đầu đặt một chân vào ví điện tử của bạn.

Bên cạnh đó, hiện các hacker trong thế giới tiền số đã viết được các malware chuyên đi lùng sục các file data, các file ghi lại nhật ký ví điện tử, thông tin đăng nhập trình duyệt, các file văn bản được lưu ở Desktop hoặc thư mục Document trong máy tính. Đây cũng là hai nơi thường được người dùng đặt các file văn bản lưu lại chuỗi ký tự của mã khóa mà nhà cung cấp ví điện tử cấp cho người dùng.

Với các dữ liệu malware thu thập được, hacker có thể quét và tìm ra chuỗi mã khóa này, thậm chí cả mật khẩu lưu trong đó, để từ đó bruteforce ra chuỗi khóa và mật khẩu đúng để đăng nhập ví điện tử trên trình duyệt.

Ngoài ra, nhiều người còn có thói quen dùng một mật khẩu hoặc một kiểu đặt mật khẩu (ví dụ Abc123, Abc345, …) cho nhiều tài khoản trực tuyến khác nhau, do vậy, khi bruteforce để tìm ra mã khóa xem được mật khẩu lưu trên trình duyệt, hacker có thể đoán được khóa riêng tư mà người dùng tự đặt cho tài khoản ví, nếu họ không lưu nó chung trong file văn bản với chuỗi mã khóa 12 ký tự nói trên.

Đáng ngại hơn khi theo ông Khang, loại malware này hoạt động đa nền tảng, nên dù bạn đang dùng Windows, MacOS hay Linux đều có khả năng trở thành nạn nhân của hacker.

Đó là còn chưa kể nhiều trường hợp người dùng cài các phần mềm lậu máy tính hoặc các extension độc hại cho trình duyệt. Các mã độc này càng tạo điều kiện cho hacker dễ dàng tiếp cận các dữ liệu quan trọng mà bạn lưu trên đó, cũng như mở đường cho hacker bước vào ví điện tử của bạn.

Theo ông Khang, quá trình phá khóa tưởng chừng như phức tạp kể trên đang gây ra các thiệt hại lớn ngoài sức tưởng tượng đối với nhiều người. Một nhóm hacker khá nổi trong làng blockchain là Red Line của Nga MỖI NGÀY có thể chia sẻ miễn phí các dữ liệu chứa từ 3.000 đến 5.000 máy tính người dùng – tất cả đều đã bị thâm nhập và khoắng sạch ví điện tử của họ. Nhiều nạn nhân bị lấy đi từ hàng chục ngàn USD đến hàng trăm ngàn USD. Trong đó cũng có không ít nạn nhân đến từ Việt Nam.

Dù bản thân người dùng luôn đề cao cảnh giác, nhưng do máy tính của người dùng là nơi hacker có thể dễ dàng xâm nhập và tìm kiếm dữ liệu, nên theo ông Khang, tuyệt đối KHÔNG BAO GIỜ LƯU MẬT KHẨU VÀO TRÌNH DUYỆT. Làm được điều này, nếu chẳng may bị hacker xâm nhập vào máy tính, thì bạn vẫn an toàn hơn trước các cuộc tấn công.