Xem xét việc các nhà nghiên cứu khôi phục mật khẩu 11 năm tuổi, liệu ví tiền điện tử có được coi là an toàn không?

Hàng triệu Bitcoin bị khóa

Michael, một chủ sở hữu tiền điện tử ở châu Âu, đã rơi vào tình thế khó khăn hai năm trước. Trở lại năm 2013, anh đã lưu trữ 43,6 BTC, trị giá khoảng 4.000 euro hoặc 5.300 USD vào thời điểm đó, trong ví kỹ thuật số được bảo vệ bằng mật khẩu.

Vào thời điểm anh liên hệ với Joe Grand để được giúp đỡ vào năm 2022, giá trị của số bitcoin đó đã tăng vọt lên mức đáng kinh ngạc là 2 triệu USD.

Vấn đề?

Michael đã quên mật khẩu ví của mình. Anh ta đã sử dụng RoboForm, một trình quản lý mật khẩu, để tạo mật khẩu mạnh gồm 20 ký tự.

Tuy nhiên, thay vì lưu trữ mật khẩu trong RoboForm, anh ta đã mã hóa nhầm mật khẩu bằng một công cụ riêng có tên TrueCrypt. Thật không may, tệp mã hóa đó đã bị hỏng, khiến Michael không có cách nào truy cập được số bitcoin có giá trị của mình.

Tìm kiếm sự trợ giúp từ hacker phần cứng

Michael không đơn độc trong cuộc đấu tranh của mình. Nhiều người đã mất quyền truy cập vào tiền điện tử do quên mật khẩu.

Anh đã liên hệ với Joe Grand, một hacker phần cứng nổi tiếng với chuyên môn trong việc khôi phục tài sản kỹ thuật số bị mất.

Tuy nhiên, Grand ban đầu từ chối giúp đỡ. Chuyên môn của anh ta nằm ở việc bẻ khóa ví phần cứng và tình huống của Michael liên quan đến ví phần mềm. Việc ép buộc mật khẩu một cách thô bạo, bao gồm việc tự động thử hàng triệu kết hợp, cũng có vẻ không thực tế.

Một lỗ hổng trong tính ngẫu nhiên

Không nản lòng, Michael tiếp cận Grand một lần nữa vào tháng 6 năm 2022. Lần này, Grand cùng với cộng tác viên Bruno quyết định thực hiện một cách tiếp cận khác. Họ nghi ngờ có một lỗ hổng tiềm ẩn trong quy trình tạo mật khẩu của RoboForm được sử dụng vào năm 2013.

Trước đó, chương trình có thể đã dựa vào một "trình tạo số giả ngẫu nhiên" thiếu sót; điều đó không thực sự ngẫu nhiên. Điều này có nghĩa là mật khẩu có thể dự đoán được nếu chúng biết ngày và giờ tạo cùng với các tham số khác được RoboForm sử dụng.

Có một nhược điểm: Michael không thể nhớ chính xác ngày anh tạo mật khẩu.

Thu hẹp các khả năng

Làm việc với lượng thông tin hạn chế, Grand và Bruno đã đưa ra một số phỏng đoán có căn cứ. Họ biết giao dịch Bitcoin đầu tiên của Michael diễn ra vào ngày 14 tháng 4 năm 2013.

Dựa trên điều này, họ đã định cấu hình RoboForm để tạo mật khẩu có cùng tham số mà Michael có thể đã sử dụng (độ dài ký tự, ký tự đặc biệt, v.v.) trong khung thời gian từ ngày 1 tháng 3 đến ngày 20 tháng 4 năm 2013.

Thật không may, không có nỗ lực nào trong số này mang lại mật khẩu chính xác.

Họ tiếp tục tinh chỉnh tìm kiếm của mình, mở rộng khung thời gian và điều chỉnh các tham số dựa trên trí nhớ của Michael về các mật khẩu khác được tạo vào khoảng thời gian đó.

Quá trình này gây khó chịu cho cả hai bên, trong đó Michael không chắc chắn về các chi tiết chính xác còn Grand và Bruno cần thêm thông tin để xác định chính xác mật khẩu.

Một sự may mắn và một vận may được phục hồi

Cuối cùng, vào tháng 11 năm 2022, sau nhiều tháng tìm kiếm, Grand và Bruno đã trúng được vàng. Họ đã giải mã!

Mật khẩu, được tạo vào ngày 15 tháng 5 năm 2013, lúc 4:10:40 chiều GMT, không chứa ký tự đặc biệt. Cơ hội may mắn này đã cho phép Michael lấy lại quyền truy cập vào số bitcoin đã mất từ ​​lâu của mình.

Vào thời điểm Michael lấy lại được ví của mình, giá trị Bitcoin đã tăng lên đáng kể. Mỗi Bitcoin trị giá khoảng 38.000 USD.

Sau khi Grand và Bruno lấy một phần bitcoin để thanh toán cho công việc khó khăn của họ, Michael đã giữ phần còn lại cho đến khi giá trị của chúng tăng lên 62.000 USD mỗi đồng, lúc đó anh quyết định bán một số trong số chúng.

Tính đến thời điểm hiện tại, anh ấy nắm giữ 30 bitcoin, trị giá chỉ hơn 2 triệu đô la vào thời điểm viết bài và anh ấy hy vọng giá trị của chúng sẽ còn tăng cao hơn lên tới 100.000 đô la mỗi xu.

Michael phản ánh rằng việc mất mật khẩu trước đây là tình cờ, vì nó khiến anh không thể bán bitcoin khi chúng được định giá 40.000 USD mỗi đồng, có khả năng bỏ lỡ một khoản lợi nhuận đáng kể hơn.

Tuy nhiên, điều này cũng phản ánh những lỗ hổng an toàn vốn có trong ví tiền điện tử. Nếu tin tặc mũ trắng có thể truy cập và khôi phục tài khoản một cách thành thạo, điều đó có nghĩa là những tin tặc độc hại có khả năng tương tự hoặc thậm chí vượt trội hơn cũng có thể khai thác những điểm yếu này một cách dễ dàng.

Tiện ích mở rộng độc hại của Chrome đánh cắp thông tin đăng nhập

Người dùng tiền điện tử trở thành nạn nhân của một cuộc tấn công lừa đảo liên quan đến tiện ích mở rộng Chrome giả mạo được ngụy trang dưới dạng "Aggr" ứng dụng.

Phần mềm độc hại này đã đánh cắp người dùng dữ liệu cookie, xâm phạm tài khoản của họ, đặc biệt là trên sàn giao dịch Binance. Vụ việc nêu bật sự nguy hiểm của việc tải xuống các tiện ích mở rộng mà không có nghiên cứu thích hợp.

Vụ lừa đảo lần đầu tiên bị phát hiện vào tháng 2 năm 2024, khi một nhà giao dịch Binance có tên "doomxbt" đã báo cáo khoản lỗ đáng ngờ là 70.000 đô la từ tài khoản của họ. Số tiền bị đánh cắp ban đầu được gửi trên sàn giao dịch tiền điện tử SideShift.

Lừa dối thông qua ảnh hưởng truyền thông xã hội

Các cuộc điều tra cho thấy thủ phạm là một ứng dụng Aggr giả mạo có sẵn trên Chrome Store. Kẻ mạo danh này cung cấp các công cụ giao dịch có vẻ có giá trị nhưng lại hoạt động như một con ngựa thành Troy. Không giống như Aggr chính hãng, phiên bản độc hại chứa mã được thiết kế để đánh cắp tất cả cookie trang web từ những người dùng không nghi ngờ.

Sau đó, tin tặc khai thác dữ liệu bị đánh cắp này để có khả năng xây dựng lại mật khẩu và khóa người dùng, đặc biệt nhắm mục tiêu vào các tài khoản Binance để truy cập và đánh cắp trái phép.

Trải bẫy bằng Shilling

Cuộc tấn công không chỉ giới hạn ở việc tạo tiện ích mở rộng giả mạo. Thủ phạm đã phát động một chiến dịch truyền thông xã hội để thúc đẩy lượt tải xuống. Chiến thuật này, được gọi là "shilling" liên quan đến việc thuê những người có ảnh hưởng để truyền bá những lời truyền miệng tích cực.

Các tài khoản mạng xã hội được liên kết với những người có ảnh hưởng này tràn ngập các dòng thời gian với biệt ngữ giao dịch, coi Aggr giả là một công cụ bắt buộc phải có. Chiến lược này có thể đã thuyết phục những người dùng không nghi ngờ tải xuống phần mềm độc hại, làm tổn hại đến an ninh tài chính của họ.

Luôn thực hiện nghiên cứu của riêng bạn (DYOR)

Sự tham gia của những người có ảnh hưởng vào vụ lừa đảo này đặt ra câu hỏi về sự thẩm định của họ. Không rõ liệu những người quảng cáo này có nhận thức được bản chất độc hại của Aggr' giả mạo hay chỉ đơn giản là bỏ qua tầm quan trọng của việc xác minh phần mềm trước khi chứng thực nó.

Như đã đề cập trong bài đăng X của Aler Auriega ở trên,

Chỉ có một tiện ích mở rộng thực sự có trên GitHub của họ, đã được xác minh và an toàn.

Sự cố này như một lời nhắc nhở rõ ràng cho tất cả người dùng tiến hành nghiên cứu của riêng họ (DYOR) trước khi tải xuống bất kỳ ứng dụng nào, đặc biệt là các tiện ích mở rộng của trình duyệt. Xác minh tính hợp pháp của phần mềm là rất quan trọng để bảo vệ tài khoản trực tuyến và tài sản kỹ thuật số của bạn.

Ví tiền điện tử: Sự cố bảo mật

Để bảo vệ tài sản kỹ thuật số của bạn, điều quan trọng là phải hiểu rõ các loại ví tiền điện tử khác nhau có sẵn để lưu trữ.

Có ba loại ví tiền điện tử chính: ví phần cứng, ví phần mềm và ví giấy. Mỗi cung cấp mức độ bảo mật khác nhau.

Ví lạnh và ví nóng

• Ví lạnh không được kết nối với internet và do đó an toàn hơn nhiều so với ví nóng. Ví phần cứng là loại ví lạnh phổ biến nhất. Họ lưu trữ khóa riêng của bạn trên một thiết bị bảo mật giống như ổ USB. Bạn có thể kết nối ví phần cứng với máy tính của mình khi cần thực hiện giao dịch, nhưng nếu không thì nó vẫn ngoại tuyến, giảm đáng kể nguy cơ bị hack.
• Ví nóng luôn được kết nối với internet, khiến chúng dễ bị hack hơn. Ví phần mềm là loại ví nóng phổ biến nhất. Chúng có nhiều dạng khác nhau, bao gồm ví di động, ví mở rộng trình duyệt và ví máy tính để bàn. Mặc dù thuận tiện cho việc giao dịch dễ dàng nhưng chúng kém an toàn hơn ví lạnh vì chúng liên tục trực tuyến.

Các loại ví nóng và những cân nhắc về bảo mật

• Ví di động được tải xuống dưới dạng ứng dụng và hoạt động tương tự như các ứng dụng khác trên điện thoại của bạn. Mặc dù tiện lợi nhưng chúng có thể dễ bị phần mềm độc hại và hack nếu điện thoại của bạn bị xâm phạm.
• Ví mở rộng trình duyệt là các tiện ích mở rộng có thể tải xuống hoạt động cùng với trình duyệt web của bạn. Chúng cung cấp quyền truy cập nhanh vào tiền điện tử của bạn nhưng có nguy cơ bị hack cao vì chúng dựa vào tính bảo mật của trình duyệt của bạn.
• Ví máy tính để bàn tương tự như ví di động nhưng được lưu trữ trên máy tính của bạn. Chúng thường kém tiện lợi hơn ví di động nhưng có thể cung cấp bảo mật tốt hơn một chút vì máy tính của bạn có thể áp dụng các biện pháp bảo mật bổ sung.

Ví giấy: Bảo mật thông qua bảo vệ vật lý

Ví giấy về mặt kỹ thuật không phải là ví mà là một mảnh giấy có chứa khóa riêng của bạn được in trên đó. Chúng cung cấp tính bảo mật cao nếu được lưu trữ đúng cách, nhưng đây có thể là một thách thức. Giấy dễ bị hư hỏng do nước, lửa và các yếu tố khác. Ngoài ra, nếu bạn mất ví giấy, bạn sẽ mất tiền điện tử.

Chọn ví tiền điện tử an toàn nhất

Ví phần cứng được coi là loại ví tiền điện tử an toàn nhất vì chúng lưu trữ khóa riêng của bạn ngoại tuyến trên một thiết bị chuyên dụng.

Tuy nhiên, chúng không thể đánh lừa được.

Nếu ai đó có quyền truy cập vật lý vào ví phần cứng và mã PIN của bạn, họ có thể đánh cắp tiền điện tử của bạn. Điều quan trọng là phải chọn một ví phần cứng uy tín với các tính năng bảo mật mạnh mẽ và giữ bí mật mã PIN cũng như cụm từ khôi phục của bạn.

Những thách thức và mối đe dọa đối với bảo mật ví tiền điện tử

Mặc dù ví tiền điện tử cung cấp các tính năng bảo mật mạnh mẽ nhưng chúng không phải là bất khả chiến bại. Người dùng phải nhận thức được những rủi ro tiềm ẩn để bảo vệ hiệu quả tài sản kỹ thuật số của mình:

• Lừa đảo và lừa đảo: Các nỗ lực lừa đảo đang phổ biến trong ngành công nghiệp tiền điện tử. Những kẻ độc hại mạo danh nhà cung cấp ví hợp pháp để đánh cắp khóa riêng tư hoặc cụm từ khôi phục. Người dùng nên thận trọng và xác minh tính hợp pháp của các trang web ví trước khi tương tác với chúng.
• Mất khóa riêng hoặc cụm từ khôi phục: Việc quên hoặc mất khóa riêng hoặc cụm từ khôi phục có thể dẫn đến tổn thất tài chính vĩnh viễn. Các bản sao lưu phải được lưu trữ an toàn và không bao giờ được chia sẻ với bất kỳ ai.
• Lỗi phần cứng: Ví phần cứng, mặc dù mạnh mẽ nhưng không tránh khỏi hư hỏng vật lý hoặc trục trặc. Người dùng nên xử lý chúng một cách cẩn thận và duy trì nhiều bản sao lưu của cụm từ khôi phục.
• Rủi ro pháp lý: Những thay đổi về quy định ở các quốc gia khác nhau có thể ảnh hưởng đến việc sử dụng ví tiền điện tử. Việc cập nhật thông tin về các quy định của địa phương và các yêu cầu tuân thủ là điều cần thiết đối với người dùng.
• Rủi ro của bên thứ ba: Khi sử dụng ví hoặc sàn giao dịch trực tuyến, về cơ bản, người dùng giao phó khóa riêng của họ cho nhà cung cấp bên thứ ba. Những nhà cung cấp dịch vụ này có thể dễ bị tấn công hoặc các vi phạm bảo mật khác.

Tầm quan trọng của trách nhiệm của người dùng trong bảo mật ví tiền điện tử

Câu ngạn ngữ nổi tiếng trong thế giới tiền điện tử, "không phải chìa khóa của bạn, không phải tiền của bạn" nhấn mạnh trách nhiệm của người dùng đối với bảo mật. Bất kể loại ví nào, người dùng đều đóng một vai trò quan trọng trong việc bảo vệ tài sản tiền điện tử của họ. Dưới đây là một số phương pháp cần thiết để tăng cường bảo mật ví tiền điện tử:

• Lựa chọn nhà cung cấp uy tín: Chọn ví từ các nhà cung cấp có uy tín và đáng tin cậy. Tiến hành nghiên cứu kỹ lưỡng và đọc các bài đánh giá trước khi giao phó những vật có giá trị của bạn cho dịch vụ ví.
• Bảo vệ khóa riêng: Hãy hết sức thận trọng khi xử lý khóa riêng của bạn. Giữ chúng ngoại tuyến và không bao giờ chia sẻ chúng với bất kỳ ai. Hãy cân nhắc sử dụng ví phần cứng để có thêm lớp bảo mật.
• Kích hoạt tính năng bảo mật: Nếu ví của bạn hỗ trợ 2FA, đa chữ ký hoặc mã hóa, hãy kích hoạt chúng để tăng cường bảo mật.
• Cập nhật phần mềm thường xuyên: Duy trì phần mềm ví cập nhật đảm bảo bạn được hưởng lợi từ các bản vá và cải tiến bảo mật mới nhất.
• Nhận thức về Lừa đảo: Hãy cảnh giác khi nhấp vào các liên kết đáng ngờ hoặc cung cấp thông tin cá nhân trực tuyến. Luôn xác minh tính hợp pháp của các trang web ví trước khi tương tác với chúng.

Lời khuyên bổ sung để giữ tiền điện tử của bạn an toàn

Dưới đây là một số biện pháp bổ sung mà bạn có thể thực hiện để cải thiện tính bảo mật cho tài sản tiền điện tử của mình:

• Tránh sử dụng Wi-Fi công cộng khi truy cập vào ví tiền điện tử của bạn. Mạng Wi-Fi công cộng thường không an toàn và có thể bị tin tặc xâm nhập.
• Sử dụng VPN (Mạng riêng ảo) để mã hóa lưu lượng truy cập internet và ẩn địa chỉ IP của bạn. Điều này có thể giúp bảo vệ bạn khỏi tin tặc có thể cố đánh cắp thông tin đăng nhập của bạn.
• Đa dạng hóa khoản đầu tư của bạn. Đừng lưu trữ tất cả tiền điện tử của bạn trong một ví duy nhất. Hãy cân nhắc sử dụng kết hợp ví nóng và ví lạnh để phân tán rủi ro.
• Giữ một bản sao lưu an toàn cho khóa riêng của bạn. Nếu bạn mất ví phần cứng hoặc quên mã PIN, bạn sẽ cần khóa riêng để khôi phục tiền điện tử của mình. Tuy nhiên, điều quan trọng là phải lưu trữ khóa riêng của bạn một cách an toàn và không bao giờ chia sẻ nó với bất kỳ ai.

Kroo tham gia cùng các ngân hàng thách thức Vương quốc Anh trong việc cấm giao dịch tiền điện tử do lo ngại về bảo mật

Ngân hàng kỹ thuật số Kroo của Vương quốc Anh đang có lập trường mạnh mẽ chống lại tiền điện tử, lấy lý do chính là sự gia tăng gian lận và lừa đảo trực tuyến. Quyết định này, có hiệu lực từ ngày 30 tháng 5 năm 2024, cấm khách hàng của Kroo sử dụng tài khoản của họ cho bất kỳ giao dịch nào liên quan đến tiền điện tử.

Các hạn chế của Kroo đối với hoạt động tiền điện tử

Các điều khoản và điều kiện cập nhật của Kroo đưa ra chính sách không khoan nhượng đối với hoạt động tiền điện tử. Nếu ngân hàng phát hiện khách hàng sử dụng tài khoản của họ để mua, bán hoặc nhận tiền liên quan đến tiền điện tử, họ sẽ có hành động.

Hành động này có thể bao gồm chặn giao dịch, đóng băng tài khoản hoặc thậm chí đóng cửa vĩnh viễn trong trường hợp liên tục cố gắng tham gia vào hoạt động tiền điện tử.

Ngân hàng đề cập cụ thể rằng họ sẽ không còn xử lý chuyển khoản ngân hàng hoặc thanh toán bằng thẻ liên quan đến tiền điện tử nữa. Điều này thực sự cắt đứt mọi con đường để khách hàng sử dụng tài khoản Kroo của họ để giao dịch tiền điện tử.

Theo xu hướng của các ngân hàng thách thức Vương quốc Anh

Quyết định của Kroo phù hợp với xu hướng ngày càng tăng của các ngân hàng thách thức ở Vương quốc Anh. Các tổ chức khác như Starling Bank và Chase UK đã thực hiện các lệnh cấm tương tự đối với các giao dịch tiền điện tử. Các ngân hàng này, nhằm cạnh tranh với những gã khổng lồ tài chính đã thành danh, đang ưu tiên các biện pháp bảo mật để bảo vệ cơ sở khách hàng của họ.

Lo ngại về gian lận liên quan đến tiền điện tử

Sự gia tăng gian lận trực tuyến liên quan đến tiền điện tử là mối lo ngại lớn đối với Kroo và các ngân hàng khác. Tính ẩn danh được nhận thức của tiền điện tử có thể thu hút các cá nhân có mục đích xấu. Những kẻ lừa đảo có thể sử dụng các giao dịch tiền điện tử để rửa tiền hoặc lừa gạt những nạn nhân không nghi ngờ.

Theo Ngân hàng Trung ương Nga, gần một nửa số vụ gian lận tài chính của họ vào năm 2023 liên quan đến tiền điện tử. Điều này nhấn mạnh rủi ro tiềm ẩn mà các tổ chức tài chính truyền thống phải đối mặt khi giao dịch với thị trường tiền điện tử không được kiểm soát.

Các ngân hàng toàn cầu kêu gọi thận trọng với tiền điện tử

Quyết định của Kroo phản ánh mối lo ngại lớn hơn về an ninh trong lĩnh vực ngân hàng toàn cầu. Ngay cả ở các quốc gia như Hoa Kỳ, các cơ quan chức năng như Cục Dự trữ Liên bang cũng bày tỏ sự dè dặt về việc các ngân hàng sử dụng tiền điện tử.

Gian lận và lừa đảo tiềm ẩn liên quan đến tiền điện tử và Tiền tệ kỹ thuật số của Ngân hàng Trung ương (CBDC) là những lĩnh vực cần quan tâm chính.

Trong khi thế giới tiền điện tử tiếp tục phát triển, các ngân hàng truyền thống như Kroo đang ưu tiên bảo mật bằng cách tránh xa những rủi ro nhận thấy liên quan đến giao dịch tiền điện tử.

Tiền điện tử có thể là một khoản đầu tư rủi ro kèm theo những lo ngại về bảo mật. Dưới đây là bảng phân tích các điểm chính:

Tiền điện tử có an toàn như một khoản đầu tư không?

Tiền điện tử là một khoản đầu tư không ổn định, có nghĩa là giá của nó có thể dao động đáng kể. Không giống như các loại tài sản đã được thiết lập, tiền điện tử phần lớn không được kiểm soát, điều này có thể làm tăng rủi ro.

Việc thiếu quy định này có nghĩa là không có gì đảm bảo bạn sẽ lấy lại được tiền nếu một sàn giao dịch tiền điện tử bị phá sản hoặc bị hack.

Rủi ro bảo mật của tiền điện tử

• Lừa đảo: Lừa đảo tiền điện tử rất phổ biến, tội phạm sử dụng các ứng dụng, ví và email giả mạo để đánh cắp khóa riêng tư của bạn và truy cập vào tiền điện tử của bạn. Hãy cảnh giác với những lời đề nghị không được yêu cầu và luôn nghiên cứu trước khi đầu tư vào một loại tiền điện tử mới.
• Sự bảo vệ pháp lý hạn chế: Không giống như mua hàng bằng thẻ ghi nợ và thẻ tín dụng truyền thống, có ít sự bảo vệ pháp lý hơn đối với các giao dịch tiền điện tử. Nếu bạn bị mất tiền do lừa đảo thì có rất ít cơ hội lấy lại được.
• Giao dịch không thể đảo ngược: Các giao dịch tiền điện tử nói chung là không thể đảo ngược do công nghệ blockchain. Điều này có nghĩa là bạn không thể được hoàn lại tiền nếu có sự cố xảy ra.

Bảo vệ đầu tư vào một thị trường không chắc chắn

Nhìn chung, tiền điện tử có thể là một khoản đầu tư rủi ro kèm theo những lo ngại về bảo mật. Cho dù người khác có tuyên bố nó an toàn đến đâu thì cũng không có gì là an toàn tuyệt đối.

Điều quan trọng là phải hiểu những rủi ro này và thực hiện các bước để bảo vệ khoản đầu tư của bạn trước khi tham gia. Tính bảo mật của tài sản kỹ thuật số phụ thuộc rất nhiều vào trách nhiệm và nhận thức của người dùng.

Hiện tại, việc chọn ví lạnh phần cứng ngoại tuyến được coi là lựa chọn thích hợp hơn, tránh các hoạt động thường xuyên trong môi trường mạng phức tạp. Tuy nhiên, việc đảm bảo an ninh cho toàn bộ hệ sinh thái mạng là một nỗ lực có hệ thống.

Có thể cho rằng cách tiếp cận an toàn nhất là hạn chế cờ bạc và không nắm giữ bất kỳ sản phẩm tiền điện tử nào.