662 SOL bị rút khỏi ví, nghi vấn hack ứng dụng crypto FOMO

Một tài khoản mạng xã hội cáo buộc rằng bản cập nhật iOS mới nhất của ứng dụng giao dịch tiền mã hóa FOMO chứa mã độc, khiến ví Solana(SOL) của người dùng bị rút mất 662 SOL, tương đương khoảng 62.000 USD trong một trường hợp. Giao dịch on-chain liên quan là có thật, nhưng chưa có bằng chứng xác nhận nguyên nhân xuất phát từ lỗi ứng dụng FOMO.

Theo Protos đưa tin ngày 24 (giờ địa phương), đồng sáng lập FOMO Prashan Dharmasena đã lên tiếng bác bỏ cáo buộc ví bị rò rỉ do lỗi ứng dụng. Ông cho biết địa chỉ trả phí giao dịch (fee payer) của FOMO không hề ký bất kỳ giao dịch nào liên quan đến tài khoản bị nghi ngờ.

Tranh cãi bùng lên sau khi tài khoản X Derivatives_Ape đăng bài cho rằng mã độc đã được cài vào bản cập nhật iOS mới nhất của FOMO. Tài khoản này khẳng định một nạn nhân đã mất 662 SOL, tương đương khoảng 62.000 USD, và tổng thiệt hại trên toàn hệ thống lên tới 6 triệu USD.

Tuy nhiên, Derivatives_Ape không công bố danh sách nạn nhân, cách tính mức thiệt hại hay bất kỳ báo cáo phân tích kỹ thuật nào đi kèm. Con số 6 triệu USD hiện vẫn chỉ là cáo buộc một chiều, chưa được kiểm chứng độc lập.

Protos xác nhận giao dịch Solana đính kèm trong cáo buộc là giao dịch có thật. Ví bị nêu tên đúng là đã chuyển đi 662 SOL, nhưng liệu giao dịch này xuất phát từ lỗi ứng dụng FOMO hay do chính người dùng phê duyệt lại là câu hỏi khác, cần được xem xét riêng.

Solana là blockchain lớp 1 (layer 1) nổi tiếng với phí giao dịch thấp và tốc độ xử lý nhanh. Khi tài sản rời khỏi ví, lịch sử giao dịch được ghi lại vĩnh viễn trên blockchain, nhưng bản thân dữ liệu đó không đủ để xác định ngay nguyên nhân là do lỗi ứng dụng, người dùng tự phê duyệt, rò rỉ khóa riêng tư (private key) hay tấn công lừa đảo (phishing).

Trong tài liệu bảo mật chính thức, FOMO mô tả ứng dụng của mình hoạt động theo mô hình không lưu ký (non-custodial). Công ty khẳng định: "FOMO cannot access, move, or freeze your funds" (FOMO không thể truy cập, di chuyển hay đóng băng tiền của bạn).

Mô hình không lưu ký nghĩa là người dùng tự giữ khóa riêng tư và toàn quyền kiểm soát tài sản. Nếu cấu trúc này thực sự được duy trì đúng trong quá trình vận hành, kịch bản máy chủ đơn phương rút tiền của người dùng khó có thể xảy ra.

Trang mô tả ứng dụng trên App Store của Apple($AAPL) cũng đi theo hướng tương tự. FOMO được xếp vào nhóm ứng dụng tài chính dành cho iPhone và iPad, với dòng giới thiệu "You own all your crypto" (Bạn sở hữu toàn bộ tài sản crypto của mình). Tính đến ngày 24, ứng dụng vẫn có mặt trên App Store, và ghi chú cập nhật của phiên bản mới nhất 1.87.0 chỉ ghi vỏn vẹn "Small bug fixes" (một vài bản sửa lỗi nhỏ).

Phản ứng từ cộng đồng khá trái chiều. Bài đăng của Derivatives_Ape kêu gọi người dùng gỡ bỏ ứng dụng ngay lập tức. Ngược lại, tài khoản RuneCrypto_ phản bác rằng ví được nhắc đến trong cáo buộc thậm chí không phải ví được tạo từ FOMO, và gọi toàn bộ thông tin trên là sai sự thật.

Đến nay chưa có báo cáo pháp y (forensic) độc lập nào được công bố công khai. Vấn đề hiện tại vẫn đang chia thành hai khả năng: một sự cố bảo mật thực sự, hoặc một cáo buộc sai lệch xuất phát từ đối thủ cạnh tranh.

FOMO là ứng dụng tiền mã hóa hướng đến người dùng phổ thông, tập trung vào giao dịch xã hội (social trading) và giao dịch xuyên chuỗi (cross-chain). The Block đưa tin hồi tháng 6 rằng FOMO đã huy động được 75 triệu USD trong vòng gọi vốn Series B do Index Ventures dẫn dắt, đưa định giá công ty lên 550 triệu USD.

The Block cũng cho biết tổng số vốn công khai mà FOMO huy động được đến nay vào khoảng 94 triệu USD. Vì đây là dịch vụ ứng dụng chưa niêm yết, vụ việc lần này chưa ghi nhận phản ứng nào từ giá cổ phiếu hay token liên quan trên thị trường.

Trong ngành công nghiệp tiền mã hóa, việc tách biệt giữa lịch sử chuyển tiền và nguyên nhân sự cố là chuyện thường gặp, dù đó là ví ứng dụng, ví mở rộng trình duyệt hay ví cứng. TokenPost từng giải thích rằng điều tra on-chain là quá trình phân tích đường đi dòng tiền dựa trên lịch sử giao dịch công khai trên blockchain.

Trọng tâm của vụ việc lần này nằm ở chỗ cần tách bạch giữa lịch sử chuyển 662 SOL và trách nhiệm của ứng dụng FOMO. Lời giải thích về mô hình không lưu ký từ phía công ty có thể là cơ sở để thu hẹp khả năng xảy ra sự cố bảo mật, nhưng không thể thay thế cho một cuộc kiểm chứng kỹ thuật độc lập từ bên ngoài.