Một lần nữa bị hack và không ai ngạc nhiên nữa. Lần này, dự án crypto World Liberty Financial ( $WLFI ) đã bị tấn công, được cho là có liên quan đến Donald Trump và gia đình ông.
Hóa ra, nguyên nhân là do 'món quà' gần đây cho các hacker - bản cập nhật Ethereum EIP-7702 (trong khuôn khổ nâng cấp Pectra). Theo các nhà nghiên cứu từ SlowMist, bản cập nhật này, vốn được kỳ vọng sẽ làm cuộc sống của người dùng crypto dễ dàng hơn, lại tạo ra một lỗ hổng hoàn hảo để đánh cắp token.
Nó hoạt động như thế nào và tại sao lại đáng sợ như vậy
Mọi trò lừa nằm ở chỗ, bản nâng cấp cho phép các ví tạm thời 'chuyển giao' quyền điều khiển cho hợp đồng thông minh. Các hacker, như bạn đã đoán, không bỏ lỡ cơ hội này. Họ đã sử dụng lừa đảo để đánh cắp các khóa riêng tư, và sau đó nhanh chóng cài đặt mã độc. Mã này sử dụng chức năng DELEGATECALL và ngay lập tức rút hết ETH và token từ ví.
Theo các chuyên gia, kỹ thuật này đã 'chín muồi' một cách đáng kinh ngạc: hơn 97% tất cả các 'ủy quyền' theo EIP-7702 đều liên quan đến cùng một hợp đồng 'máy hút bụi'.
Giấc mơ về Ethereum đã trở thành cơn ác mộng về an ninh
Cập nhật EIP-7702 là một phần của kế hoạch lớn nhằm cải thiện trải nghiệm người dùng - nó dự kiến sẽ giảm phí giao dịch và đơn giản hóa các giao dịch. Nghe có vẻ tuyệt vời, phải không? Nhưng, như thường lệ, vấn đề nằm ở chi tiết. Kết hợp với các khóa bị đánh cắp, điều này đã dẫn đến những rủi ro nghiêm trọng.
Đây không phải là sự cố đầu tiên và có vẻ như cũng không phải là sự cố cuối cùng. Lỗ hổng này đã cho phép các hacker thực hiện các chiến dịch lừa đảo với thiệt hại lên đến 1.54 triệu đô la và rút 146 nghìn đô la qua MetaMask. Tổng cộng, chỉ một nhóm hacker đã 'kiếm được' hơn 9 triệu đô la vào năm 2025.
Kết luận: phải làm gì và ai là người có lỗi
Hơn cả chỉ là lừa đảo. Lỗ hổng cho phép sử dụng nhiều phương pháp khác nhau, từ lừa đảo thông thường và cài đặt mã độc từ xa qua chữ ký, đến các cuộc tấn công phức tạp hơn sử dụng tín dụng tức thì.
Các chuyên gia đưa ra lời khuyên. Như thường lệ, sau khi tiền đã bị rò rỉ. Họ khuyên nên tránh các yêu cầu nghi ngờ, kiểm tra kỹ các quyền giao dịch và hủy bỏ bất kỳ ủy quyền nghi ngờ nào.
Vấn đề nằm ở chính cơ chế này. Vấn đề chính là ý tưởng 'ủy quyền' tạo ra một lỗ hổng lớn. Khi các khóa riêng của bạn bị xâm phạm, các hacker có thể tự động rút bất kỳ khoản tiền nào gửi đến tài khoản của bạn.
Nói chung, câu chuyện về crypto vẫn tiếp tục: với mỗi bước tiến mới, một vấn đề mới, tinh vi hơn lại xuất hiện. Trong thế giới tài sản kỹ thuật số, không có gì là hoàn hảo ngoài tốc độ mà các hacker tìm ra những cách mới để đánh cắp chúng.
