16 tiện ích ví Firefox giả nhắm vào cụm từ khôi phục; Electrum vá lỗ hổng

16 tiện ích ví giả trên Firefox nhắm tới cụm từ khôi phục và khóa riêng tư, trong khi một lỗ hổng ở ví Bitcoin Electrum chính thức có thể khiến máy chủ độc hại hiển thị sai thông tin giao dịch. Hai vụ việc cho thấy người dùng cần kiểm tra riêng cả tiện ích trước khi cài đặt lẫn giao dịch trước khi ký.

Công ty bảo mật Socket công bố 16 tiện ích Firefox giả mạo giao diện ví Rabi và OKX trong báo cáo điều tra ngày 7 tháng 10. Một số tiện ích được thiết kế để gửi cụm từ khôi phục mà người dùng nhập khi nhập ví hiện có tới máy chủ của kẻ tấn công. Cụm từ khôi phục là tổ hợp từ dùng để khôi phục ví; nếu bị lộ, người dùng có thể mất quyền kiểm soát ví.

Socket cho biết chức năng gửi thông tin của một trong 16 tiện ích không hoạt động trong phiên bản đã được phát hành. Vì vậy, số tiện ích không thể được xem là số ví thực tế bị ảnh hưởng. Mozilla đã dừng đăng tải các tiện ích này vào ngày 5 tháng 10.

Nếu đã nhập cụm từ khôi phục hoặc khóa riêng tư, chỉ xóa tiện ích sẽ không thể thu hồi thông tin đã bị lộ. Socket khuyến nghị người dùng liên quan tạo ví mới bằng cụm từ khôi phục mới trong môi trường an toàn rồi chuyển tài sản sang đó. Vụ việc cho thấy giao diện quen thuộc hoặc việc tiện ích được đăng tải không đủ để xác minh ai phát triển chương trình và mã nguồn có an toàn hay không.

Rủi ro riêng cũng được phát hiện ở phần mềm chính thức. Trong thông báo bảo mật ngày 24 tháng 10, nhóm phát triển Electrum cho biết máy chủ độc hại có thể ẩn giao dịch người dùng vừa gửi và hiển thị một giao dịch khác hướng tới địa chỉ của kẻ tấn công trong danh sách giao dịch chưa xác nhận. Nếu người dùng ký lại giao dịch đó để tăng phí, giao dịch chuyển tiền cho kẻ tấn công có thể được thực hiện.

Nhóm phát triển cho biết đã nhận được hai báo cáo liên quan, trong đó có một báo cáo từ người dùng bị thiệt hại. Cả hai báo cáo đều nêu rằng bốn ký tự cuối trong địa chỉ của kẻ tấn công trùng với địa chỉ nhận ban đầu. Chỉ kiểm tra một phần địa chỉ có thể khiến người dùng không nhận ra người nhận đã bị thay đổi.

Lỗ hổng ảnh hưởng đến các phiên bản Electrum trước 4.8.3. Nhóm phát triển đã phát hành tệp cài đặt của phiên bản sửa lỗi vào ngày 24 tháng 10. Electrum 4.8.3 được điều chỉnh để kiểm tra chữ ký của các giao dịch chưa xác nhận làm tiêu tốn số tiền người dùng nắm giữ, nhưng nhóm phát triển lưu ý phiên bản này không xác minh tất cả giao dịch chưa xác nhận.

Trên trang tải xuống chính thức, Electrum hướng dẫn tải phần mềm từ trang web chính thức và xác minh chữ ký điện tử của tệp. Chữ ký điện tử giúp kiểm tra tệp tải xuống có khớp với chữ ký của nhà phát triển hay không. Trước khi ký giao dịch, người dùng cần kiểm tra toàn bộ địa chỉ nhận và số tiền, bên cạnh việc xác minh tệp cài đặt.