Một nạn nhân mất 78.187 USD do một ủy quyền phishing được ký cách đây 623 ngày; sự cố nhắc nhở người dùng thường xuyên kiểm tra và thu hồi các ủy quyền cũ.
Kiểm tra ủy quyền trên ví và các DApp, thu hồi những ủy quyền không còn cần thiết, và áp dụng biện pháp bảo mật (ví cứng, hạn chế quyền) giúp giảm rủi ro mất tiền từ ủy quyền tồn đọng.
- Một trường hợp mất 78.187 USD do ủy quyền phishing được ký 623 ngày trước.
- Người dùng nên định kỳ rà soát và thu hồi ủy quyền không còn cần thiết.
- Áp dụng ví cứng, hạn chế quyền truy cập và thu hồi ủy quyền là biện pháp phòng ngừa hiệu quả.
Mô tả sự cố
Một tài khoản bị mất 78.187 USD sau khi một ủy quyền phishing được ký 623 ngày trước cho phép kẻ xấu rút tiền.
Ủy quyền kéo dài trên blockchain cho phép bên thứ 3 thao tác với tài sản; nếu người dùng không kiểm tra thường xuyên, các ủy quyền này có thể bị khai thác nhiều tháng hoặc nhiều năm sau khi ký.
Một nạn nhân mất 78.187 USD do một ủy quyền phishing được ký cách đây 623 ngày; người dùng được nhắc nên thường xuyên kiểm tra và thu hồi ủy quyền cũ.
Scam Sniffer, công cụ giám sát lừa đảo, nguồn: Scam Sniffer, ngày 28/9
Cách kiểm tra và thu hồi ủy quyền
Kiểm tra danh sách DApp/địa chỉ được ủy quyền trên giao diện ví hoặc công cụ theo dõi ủy quyền, sau đó thu hồi (revoke) các ủy quyền không còn dùng đến.
Quá trình thu hồi yêu cầu giao dịch trên blockchain và phí gas; ưu tiên thu hồi ủy quyền với số dư cao hoặc truy cập vô hạn, và kiểm tra lại sau khi thu hồi để xác nhận.
Biện pháp phòng ngừa
Hạn chế cấp quyền vô hạn, dùng ví cứng cho khoản lớn, cập nhật phần mềm ví, và tránh ký giao dịch từ trang web hoặc liên kết không rõ nguồn gốc.
Đặt lịch rà soát định kỳ (ví dụ hàng tháng hoặc khi không dùng DApp trong thời gian dài), và chỉ cấp quyền tối thiểu cần thiết cho từng ứng dụng.
Ủy quyền (approval) là gì và nó nguy hiểm ra sao?
Ủy quyền cho phép một hợp đồng thông minh hoặc địa chỉ bên thứ 3 chi tiêu Token thay cho bạn; nếu cấp quyền quá rộng hoặc quên thu hồi, kẻ xấu có thể rút tài sản.
Làm sao biết ủy quyền còn hiệu lực?
Kiểm tra trang quản lý ủy quyền trên ví hoặc công cụ theo dõi blockchain để xem địa chỉ và mức phép; nếu có giá trị khác 0 hoặc là “vô hạn”, ủy quyền đang còn hiệu lực.
Thu hồi ủy quyền có tốn phí không?
Có; thu hồi là một giao dịch trên blockchain nên cần trả phí gas. Phí phụ thuộc vào mạng lưới và thời điểm giao dịch.