Lừa đảo mã thông báo gas nhắm vào cơ chế hoàn tiền của Binance Smart Chain

Tóm lại

• Sau vụ hack cầu Multichain trị giá 126 triệu đô la, các chủ sở hữu ví đã được khuyến khích thu hồi các hợp đồng liên quan.
• Nhưng thật không may, những kẻ độc hại đang lợi dụng làn sóng thu hồi để thực hiện các vụ lừa đảo gas token.
• Hiện tại, chỉ có Chuỗi thông minh Binance được xác nhận là đã bị nhắm mục tiêu, nhưng các chuỗi khối theo mô hình Ethereum khác cũng có thể dễ bị tấn công.

Bảo vệ các nhà nghiên cứu đã xác định được một vụ lừa đảo gas token nhắm vào người dùng củasàn giao dịch Chuỗi thông minh (BSC ).

Vectơ tấn công tận dụng cái gọi là mã thông báo gas nhằm giúp người dùng tiết kiệmphí gas . Mặc dù không phải là lần đầu tiên nó được phát hiện, nhưng cuộc tấn công đã xuất hiện trở lại để đối phó với việc khai thác Multichain gần đây.

Tin tặc lợi dụng việc người dùng thu hồi phê duyệt đa chuỗi
Vụ lừa đảo mã thông báo gas mới nhất dường như đã phát sinh do các công cụ bảo mật khác nhau nhắc người dùng của họ thu hồi bất kỳ giao dịch không mong muốn nào. Những lời nhắc này đã được ban hành để đáp ứng với gần đâyTấn công cầu đa chuỗi đã đánh cắp khoảng 126 triệu đô la tài sản tiền điện tử.

Sau khi có tin tức rằng Multichain'sma bridge đã bị xâm phạm, Multichain kêu gọi người dùng thu hồi tất cả các phê duyệt hợp đồng liên quan đến giao thức bắc cầu chuỗi chéo.

Sau thông báo này, các nhà phát triển công cụ bảo mật đã nhanh chóng hành động để giảm thiểu rủi ro cho người dùng của họ. Ví dụ: tiện ích mở rộng trình duyệt Thu hồi tiền mặtkhuyến khích người dùng thu hồi tất cả các phê duyệt của Multichain, cũng như Rabbyví tiền điện tử .

Mặc dù các nhà phát triển đã đưa ra những cảnh báo như vậy để giúp bảo vệ người dùng khỏi các mối đe dọa tiềm ẩn, nhưng ít nhất một tin tặc đã lợi dụng làn sóng hủy bỏ.

Là người dùng twitter blanker.Eth đầu tiênxác định kẻ lừa đảo đã triển khai mã thông báo ERC-20 giả trên BSC để đánh cắp tiền khi người dùng thu hồi hợp đồng.

Bằng cách sử dụng một hợp đồng giả, kẻ lừa đảo đã đúc CHI vào ví của nạn nhân trước khi chuyển nó đến một địa chỉ khác. Nhưng CHI chính xác là gì? Và làm thế nào nó được sử dụng để bỏ quacái ví phòng thủ và đánh cắp tiền điện tử?

Mã thông báo gas được sử dụng để hút tiền
Được phát triển bởi đội ngũ đứng sau1 inchDeFi giao thức, CHI là cái được gọi là mã thông báo gas.

Khái niệm này ban đầu được phát triển để giúp người dùng Ethereum chốt giá gas thấp để sử dụng sau này khi giá tăng. Các mã thông báo như vậy đã sử dụng một tính năng được tích hợp trong Ethereum để hoàn trả phí gas khi xóa bộ nhớ. Đó là cho đến khi bản cập nhật năm 2021 khiến mã thông báo gas trở nên dư thừa trên mạng chính Ethereum bằng cách vô hiệu hóa tính năng hoàn lại tiền mà chúng đã khai thác.

Tuy nhiên, một số chuỗi khối nhất định, bao gồm cả BSC, vẫn triển khai các giao thức đã triển khai mã thông báo gas. Hơn nữa, các chuỗi khối dựa trên Ethereum khác cũng có thể dễ bị tấn công. Mặc dù không có bằng chứng nào cho thấy chúng hiện đang bị khai thác theo cách này.

Thật không may, đối với BSC, điểm yếu dường như là một vấn đề lặp đi lặp lại. Ví dụ, BlockSecxác định một vụ lừa đảo tương tự vào tháng Giêng. Và miễn là cơ chế hoàn trả mà mã thông báo gas sử dụng vẫn còn hoạt động, những kẻ độc hại có thể sẽ tiếp tục khai thác chúng.

Công cụ bảo mật Ứng phó với Gas Token Attack
Sau khi họ được cảnh báo về mối đe dọa mới nhất, các nhà phát triển đằng sau Thu hồi tiền mặt và Rabby đã nhanh chóng phản hồi.

Thu hồi tiền mặt đã thêm một tính năng vô hiệu hóa việc thu hồi phê duyệt nếu phí gas vượt quá một ngưỡng nhất định. Rabby đã thực hiện các biện pháp phòng ngừa tương tự.

từ chối trách nhiệm
Để tuân thủ các nguyên tắc của Trust Project, BeInCrypto cam kết báo cáo minh bạch, không thiên vị. Tin bài này nhằm cung cấp thông tin chính xác, kịp thời. Tuy nhiên, độc giả nên xác minh sự thật một cách độc lập và tham khảo ý kiến ​​​​chuyên gia trước khi đưa ra bất kỳ quyết định nào dựa trên nội dung này.