Ethereum Community Foundation kêu gọi dừng ngay việc rút gọn địa chỉ ví bằng dấu chấm, sau vụ lừa đảo phishing khiến nạn nhân chuyển nhầm 50 triệu USDT do địa chỉ giả có 3 ký tự đầu và 3 ký tự cuối trùng khớp.
Tổ chức này cảnh báo việc ẩn phần giữa của địa chỉ tạo rủi ro không cần thiết, đồng thời cho biết một số tùy chọn giao diện trên ví và trình khám phá khối hiện có lỗ hổng bảo mật nhưng có thể khắc phục.
- Dừng rút gọn địa chỉ ví bằng dấu chấm; phải hiển thị đầy đủ.
- Địa chỉ bị giả mạo trùng 3 ký tự đầu và 3 ký tự cuối với địa chỉ thật.
- Nạn nhân chuyển nhầm 50 triệu USDT do không kiểm tra kỹ địa chỉ đã sao chép.
Cảnh báo hiển thị địa chỉ ví: không rút gọn bằng dấu chấm
Ethereum Community Foundation nói việc hiển thị địa chỉ dạng 0xbaf4b1aF…B6495F8b5 nên dừng ngay; địa chỉ cần được hiển thị toàn bộ để giảm rủi ro.
Theo thông báo trên nền tảng X, việc che phần giữa của địa chỉ tạo ra rủi ro không cần thiết cho người dùng, đặc biệt khi thao tác sao chép/dán địa chỉ để chuyển tiền điện tử. Tổ chức nhấn mạnh hiển thị đầy đủ giúp người dùng đối chiếu chính xác trước khi xác nhận giao dịch.
Ethereum Community Foundation cũng cho biết một số tùy chọn UI do một số ví và trình khám phá khối cung cấp hiện có lỗ hổng bảo mật. Nội dung nêu rõ các vấn đề này đều có thể giải quyết, hàm ý cần thay đổi tiêu chuẩn hiển thị và cách thiết kế giao diện để giảm bề mặt tấn công.
Vụ phishing 50 triệu USDT: mạo danh địa chỉ có tiền tố và hậu tố trùng nhau
Kẻ tấn công tạo địa chỉ có 3 ký tự đầu và 3 ký tự cuối giống địa chỉ thật; nạn nhân không kiểm tra kỹ địa chỉ đã sao chép và chuyển 50 triệu USDT vào địa chỉ giả.
Thông tin cho biết thủ đoạn dựa vào thói quen người dùng chỉ nhìn phần đầu/cuối khi địa chỉ bị rút gọn bằng dấu chấm. Khi giao diện chỉ hiển thị phần đầu và phần cuối, hai địa chỉ gần như không thể phân biệt nếu tiền tố và hậu tố trùng nhau.
Sự cố được mô tả là một cuộc tấn công phishing 50 triệu USDT. Điểm then chốt được nêu: lỗi xảy ra ở bước xác minh địa chỉ trước khi chuyển, khi nạn nhân không đối chiếu đầy đủ chuỗi địa chỉ và đã gửi nhầm số tiền lớn tới địa chỉ do kẻ tấn công tạo ra.
