Người dùng ví Profanity bị hacker “rút ruột” 3.3 triệu USD

Theo dữ liệu on-chain của Etherscan, một hacker ngày 16/9 đã bòn rút 3.3 triệu USD từ nhiều địa chỉ ví Ethereum tạo bằng công cụ Profanity.

Nhà phân tích bảo mật ZachXBT lần đầu phát hiện vụ hack vào ngày 16/9. ZachXBT tuyên bố một hacker chưa rõ danh tính đã khai thác lỗ hổng và rút đi khoảng 3.3 triệu USD. Số tiền được chuyển từ địa chỉ của nạn nhân sang một địa chỉ Ethereum khác của hacker.

Vanity là một loại địa chỉ ví cho phép người dùng tùy chỉnh tên hoặc số trong đó. Profanity, ra mắt năm 2017, là một trong những công cụ cung cấp dịch vụ này. Trên thực tế, giống như các xe biển số đẹp, ví vanity chủ yếu dùng để “tô điểm” cá tính cho chủ nhân của chúng.

Trước đó vào ngày 15/9, sàn giao dịch phi tập trung 1inch công bố báo cáo cho thấy ví vanity của Profanity không đảm bảo an toàn. Anton Bukov, nhà sáng lập 1inch, cảnh báo người dùng Ethereum tiền của họ đang đứng trước nguy cơ bị hacker đánh cắp.

Theo 1inch, các ví Profanity có thể bị tấn công brute force, tức hacker sẽ “đoán” thông tin ví và private key để “bẻ khóa” và lấy tiền. Báo cáo cho hay hacker đã cố gắng thu thập dữ liệu ví nhiều nhất có thể. Sau đó, hắn rút tất cả tiền trong vòng vài phút khi 1inch cảnh báo người dùng.

Tuy nhiên, kể cả khi 1inch cảnh báo, mọi chuyện dường như đã quá muộn. johguse, một nhà phát triển ẩn danh, tiết lộ đội ngũ Profanity đã ngừng phát triển công cụ từ vài năm trước. Điều này đồng nghĩa Profanity sẽ không thể đưa ra phương án giải quyết kịp thời. Trước khi 1inch phát hành báo cáo, johguse cũng đã nhận ra lỗ hổng trong công cụ và khuyên người dùng nên ngừng sử dụng ví.

Vụ hack 3.3 triệu USD đã thu hút sự chú ý từ giới chuyên gia. Họ nghi ngờ các hacker có khả năng đã biết về vấn đề bảo mật từ trước và bí mật thu thập càng nhiều private key Profanity càng tốt. 

“Sau khi bị 1inch vạch trần, những kẻ tấn công nhanh chóng rút tiền từ các địa chỉ vanity chỉ trong vòng vài phút”, theo Tal Be'ery, giám đốc bảo mật và công nghệ của công ty ví tiền mã hóa ZenGo.

Đáng chú ý, 1inch cũng khẳng định lỗ hổng bảo mật có khả năng đã gây tổn thất hàng triệu USD. 1inch cho hay họ có thể lần ra một số private key của địa chỉ ví Profanity bằng chip GPU.

“Chúng tôi có bằng chứng cho thấy private key có thể được khôi phục từ public key. Bạn có thể gửi cho chúng tôi một public key (không phải địa chỉ ví) được tạo từ Profanity và chúng tôi sẽ gửi lại cho bạn private key”, 1inch cho biết.

Theo phân tích, hacker có xu hướng tấn công các ví chứa nhiều tiền trước. Dù vậy, để phòng tránh mọi rủi ro, sàn giao dịch khuyên mọi người nên ngừng sử dụng Profanity và “chuyển tất cả tài sản sang một ví khác càng sớm càng tốt”.

Đọc thêm: Vừa ra mắt mainnet, ETHPoW bị tấn công phát lại?