Vụ tấn công Binance ảnh hưởng 6,34 tỷ USD; chuyên gia Đài Loan đề xuất thử nghiệm kiểm soát nội bộ

Vụ tấn công Binance ảnh hưởng đến khoảng 6,34 tỷ USD tài sản số (khoảng 8.546,3 tỷ won Hàn Quốc). Điều tra sơ bộ cho thấy máy tính làm việc của một nhân viên và quyền triển khai nội bộ có thể là đường tấn công.

Trong báo cáo điều tra sơ bộ công bố ngày 3, Binance cho biết kẻ tấn công dùng tin tuyển dụng và phỏng vấn giả cùng công cụ phát triển bị chỉnh sửa để cài phần mềm độc hại lên máy tính làm việc của một kỹ sư. Sau khi có quyền truy cập hệ thống nội bộ, chúng dùng thông tin xác thực triển khai để vượt qua quy trình rút tiền thông thường và gửi lệnh tới hệ thống ký ví. Binance cho biết chưa tìm thấy bằng chứng khóa riêng tư bị rò rỉ; cuộc điều tra vẫn đang diễn ra.

Trong bài viết, Guo Maoren (郭茂仁), Phó Giám đốc điều hành Trung tâm Nghiên cứu Phát triển Tài sản số (DADRC), viết: “Ngoài việc bảo vệ két, cần quản lý cả những người tiếp cận két, hệ thống họ sử dụng và quyền hạn của họ.” Bài viết cho biết công cụ AI nội bộ trong vụ Binance đã trở thành con đường để kẻ tấn công chiếm quyền kiểm soát máy tính của một kỹ sư khác.

Vụ việc cho thấy áp dụng tính toán đa bên (MPC) không đồng nghĩa quy trình phê duyệt giao dịch đã an toàn. MPC phân tách khóa riêng tư để nhiều bên cùng quản lý thay vì tập trung tại một nơi, nhưng bản thân phương thức này không xác định liệu yêu cầu giao dịch gửi đến hệ thống ký có hợp lệ hay không.

Bài viết cho biết kẻ tấn công đã dùng chức năng cấp quyền EIP-7702 của Ethereum (ETH) để chuyển một phần quyền thực thi của ví nóng sang hợp đồng thông minh do chúng kiểm soát. Vì quyền đã được thiết lập trên blockchain, tài sản vẫn có thể tiếp tục di chuyển ngay cả sau khi lệnh rút tiền bị tạm dừng.

Ngày 3, Ủy ban Giám sát Tài chính Đài Loan công bố dự thảo 8 quy định hướng dẫn liên quan đến Luật Dịch vụ tài sản ảo. Các dự thảo đề cập đến việc thành lập và quản lý hoạt động của doanh nghiệp, kiểm soát nội bộ và kiểm toán, thuê ngoài cũng như tiêu chuẩn đối với nhân viên. Đây chưa phải là các quy định đã được thông qua hoặc có hiệu lực.

Dự thảo về quản lý nhân sự quy định tiêu chuẩn và đào tạo cho nhân viên phụ trách kiểm toán nội bộ, tuân thủ, quản trị rủi ro, kế toán và hệ thống công nghệ thông tin. Những người liên quan phải hoàn thành khóa đào tạo chuyên môn và vượt qua kỳ thi; sau khi được tuyển dụng, họ cũng phải tham gia đào tạo và học lại định kỳ hai năm một lần. Dự thảo giao cho hội đồng quản trị trách nhiệm bổ nhiệm và giám sát ban điều hành, đồng thời yêu cầu nhân viên tuân thủ nghĩa vụ trung thành và chuẩn mực ứng xử.

Guo đề xuất kiểm tra xem các biện pháp kiểm soát có hoạt động trong tình huống tấn công thực tế hay không, thay vì chỉ xác minh bằng cấp và hồ sơ đào tạo. Cần thử khả năng phát hiện và ngăn chặn tấn công khi máy tính nhân viên bị chiếm quyền, thông tin xác thực triển khai bị lộ hoặc hệ thống ký nhận lệnh bất thường.

Các nhiệm vụ quản lý vận hành mà bài viết nêu gồm giảm mức độ lộ thông tin của nhân viên có quyền cao; tách thiết bị công ty khỏi thiết bị cá nhân; quản lý phần mềm được phép sử dụng; phân tách quyền triển khai trong môi trường vận hành; thẩm định từng giao dịch trước khi ký; và diễn tập ứng phó sự cố. Bài viết nhấn mạnh doanh nghiệp cần chứng minh các biện pháp được thực thi bằng cấu hình thực tế và kết quả thử nghiệm, bên cạnh tài liệu quy trình.

Nhân viên có quyền cao có thể trở thành mục tiêu thông qua thông tin công việc và mối quan hệ trong tổ chức bị công khai. Doanh nghiệp cần hạn chế để lộ thông tin về nhiệm vụ và hệ thống nội bộ, đồng thời đào tạo nhân viên nhận biết tin tuyển dụng, phỏng vấn giả và bài kiểm tra lập trình đáng ngờ, cũng như báo cáo các liên hệ như vậy. Máy tính công ty nên chỉ dùng cho công việc; nhân viên có thể dùng thiết bị cá nhân cho email cá nhân, tìm việc và thử công cụ phát triển bên ngoài.

Doanh nghiệp không nên chỉ dựa vào phần mềm diệt virus truyền thống mà cần hạn chế chạy chương trình chưa được phê duyệt và thường xuyên rà soát phần mềm, công cụ phát triển cài trên thiết bị nhân viên. Với công cụ AI nội bộ, cần quản lý danh mục, quyền truy cập và nhật ký hoạt động; đồng thời kiểm tra phạm vi mà kẻ tấn công có thể tiếp cận nếu công cụ bị chiếm quyền. Bài viết cũng đề xuất điều tra các đồng nghiệp, hệ thống và quyền mà nhân viên bị ảnh hưởng từng tiếp xúc, thay vì chỉ thay máy tính nhiễm mã độc.

Bài viết đề xuất tách biệt môi trường phát triển, thử nghiệm và vận hành, không lưu thông tin xác thực triển khai trên máy tính dùng cho công việc thường ngày của kỹ sư. Doanh nghiệp có thể sử dụng thông tin xác thực có thời hạn ngắn, xác thực đa yếu tố và quy trình phê duyệt của hai người; đồng thời tách người sửa hệ thống khỏi người phê duyệt và thực hiện triển khai. Các tài khoản có quyền cao để truy cập ví, đám mây và hệ thống trọng yếu cần được quản lý riêng và lưu nhật ký thao tác.

Hệ thống ký cần kiểm tra địa chỉ đích, hạn mức chuyển tiền và loại giao dịch bị cấm trong từng giao dịch, bất kể yêu cầu có đến từ quy trình nội bộ thông thường hay không. Các thao tác để lại quyền hạn lâu dài trên blockchain, chẳng hạn EIP-7702, có thể cần được giới hạn và giám sát riêng. Quy mô ví nóng cũng nên tính đến mức tổn thất doanh nghiệp có thể gánh chịu khi xảy ra sự cố, bên cạnh nhu cầu thuận tiện cho giao dịch thường ngày.

Bài viết khuyến nghị giám sát cả nhật ký nội bộ lẫn hoạt động trên blockchain và thường xuyên diễn tập ứng phó sự cố. Kịch bản có thể gồm máy tính nhân viên bị chiếm quyền, một số nút ký MPC không thể sử dụng, giao dịch đã ký nhưng chưa được ghi lên blockchain, việc thu hồi quyền hạn lâu dài và di chuyển tài sản còn lại. Bài viết cũng đề xuất chuẩn bị trước đầu mối liên lạc với đơn vị phát hành stablecoin, sàn giao dịch, công ty phân tích blockchain và cơ quan điều tra, đồng thời đưa các địa chỉ tấn công do FBI công bố vào quy trình kiểm tra giao dịch.

Cơ quan giám sát có thể yêu cầu doanh nghiệp cung cấp tài liệu kiểm soát nội bộ, cấu hình quyền truy cập, kết quả thử nghiệm và hồ sơ ứng phó các sự cố trước đây. Bài viết đề xuất nhờ chuyên gia trong hoặc ngoài doanh nghiệp đánh giá chi tiết kỹ thuật, đồng thời yêu cầu doanh nghiệp mới trình diễn biện pháp kiểm soát trong môi trường thử nghiệm an toàn. Việc thuê ngoài dịch vụ ví, lưu ký hoặc ký không xóa bỏ trách nhiệm của doanh nghiệp; hợp đồng cần quy định rõ trách nhiệm thông báo sự cố, ứng phó và điều tra.

Ủy ban Giám sát Tài chính Đài Loan cho biết sẽ lấy ý kiến trong 40 ngày, bắt đầu từ ngày sau khi thông báo dự thảo được đăng trên công báo. Các dự thảo dự kiến được hoàn thiện sau quá trình lấy ý kiến.