Ví Ethereum dùng khóa riêng “6969”, tiền bị chuyển chỉ sau 12 giây

Khoản tiền khoảng 1 USD được gửi vào một ví Ethereum dùng số “6969” làm khóa riêng đã bị chuyển đi sau 12 giây.

Austin Griffith, phụ trách hỗ trợ phát triển tại Ethereum Foundation, kể lại thử nghiệm này trong chương trình “Uneasy Money” của Unchained, được ghi hình ngày 21. Ông cho biết đã nạp tiền vào một ví sử dụng khóa riêng đơn giản. “Ngay khi 1 USD được gửi vào, đã có ba giao dịch chờ sẵn để lấy số tiền đó”, ông nói.

Theo dữ liệu on-chain mà Unchained kiểm tra, 0,0004 ETH được chuyển vào ví lúc 5 giờ 35 sáng ngày 22 (giờ Hàn Quốc). Một giao dịch được ký bằng cùng khóa riêng đã chuyển tiền ở khối tiếp theo, phần lớn khoản nạp được dùng để trả phí mạng lưới.

Ngay sau khi nạp tiền, ba địa chỉ khác cũng gửi giao dịch hướng đến ví này, trong đó hai giao dịch thất bại. Chỉ dựa trên dữ liệu giao dịch thì không thể xác định ai hoặc chương trình nào đã gửi chúng.

Khóa riêng là một dãy số dùng để ký các giao dịch chuyển tài sản trong ví. Nếu sử dụng một giá trị đơn giản đến mức ai cũng có thể đoán được, người khác có thể tìm ra khóa và chuyển tài sản.

Unchained đã khảo sát 255 địa chỉ Ethereum sử dụng các số từ 1 đến 255 làm khóa riêng. Cả 255 địa chỉ đều có lịch sử giao dịch, nhưng chỉ riêng việc từng có giao dịch không chứng minh rằng tài sản đã bị lấy cắp.

Griffith cho biết sự cố khóa riêng tại cơ quan chứng thực Ấn Độ eMudhra là động lực cho thử nghiệm. eMudhra nói rằng ngày 17, họ nhận được báo cáo về tính bảo mật yếu của khóa riêng thuộc tám chứng thư trung gian được tạo vào tháng 4/2025, và đã thu hồi các chứng thư này vào ngày hôm sau.

Ví và chứng thư web có mục đích sử dụng khác nhau, nhưng cả hai trường hợp đều cho thấy rủi ro từ khóa riêng dễ đoán. Chứng thư được dùng để xác minh danh tính website, còn khóa riêng của ví cấp quyền cho các giao dịch chuyển tài sản.

Trong chương trình, Griffith nói tiền trong ví dùng khóa riêng gồm 10 chữ số đã được chuyển đi “ngay lập tức”, trong khi tiền trong ví dùng khóa 12 chữ số vẫn chưa bị chuyển tại thời điểm đó. Ông cũng cho biết đã nạp tiền vào các ví dùng khóa riêng 14 và 16 chữ số.

Unchained xác nhận rằng trong bốn địa chỉ bổ sung được nạp tiền khoảng 14 phút sau lần nạp đầu tiên, tiền đã rời khỏi một địa chỉ chỉ sau 12 giây. Đến ngày 23, tiền vẫn còn trong ba địa chỉ còn lại, nhưng Unchained chưa xác định được độ dài khóa riêng được dùng cho từng địa chỉ.

Griffith và những người dẫn chương trình dự kiến kiểm tra vào tuần tới xem tiền trong các ví dùng khóa 14 và 16 chữ số đã được chuyển đi hay chưa.