- Chủ đề
74k Phổ biến
28k Phổ biến
9k Phổ biến
4k Phổ biến
4k Phổ biến
29k Phổ biến
16k Phổ biến
22k Phổ biến
12k Phổ biến
2k Phổ biến
- Ghim
74k Phổ biến
28k Phổ biến
9k Phổ biến
4k Phổ biến
4k Phổ biến
29k Phổ biến
16k Phổ biến
22k Phổ biến
12k Phổ biến
2k Phổ biến
Làm thế nào để cuộc tấn công nạp tiền giả mạo phá vỡ các lớp bảo vệ của sàn giao dịch
giới thiệu
Tấn công nạp tiền giả có nghĩa là kẻ tấn công gửi thông tin giao dịch giả mạo đến địa chỉ ví của sàn giao dịch bằng cách lợi dụng các sơ hở hoặc lỗi hệ thống trong quá trình xử lý nạp tiền của sàn giao dịch. tài sản kỹ thuật số hoặc tiền tệ tương ứng vào tài khoản của kẻ tấn công. Những kẻ tấn công có thể sử dụng phương pháp này để lấy tài sản kỹ thuật số chưa thanh toán, dẫn đến mất tài sản trao đổi.
Bài viết này nhằm khám phá sâu về cách các cuộc tấn công tiền gửi giả có thể phá vỡ cơ chế bảo vệ của các sàn giao dịch. Chúng tôi sẽ phân tích nguyên tắc của cuộc tấn công nạp tiền giả và tiết lộ những sơ hở và chiến lược bị kẻ tấn công khai thác. Đồng thời, chúng tôi sẽ phân tích cuộc tấn công nạp tiền giả thông qua các ví dụ để hiểu rõ hơn về phương thức tấn công và tác động. Ngoài ra, chúng tôi cũng sẽ thảo luận về các biện pháp khẩn cấp và phòng ngừa đối với các sàn giao dịch để đối phó với các cuộc tấn công nạp tiền giả, nhằm đưa ra các đề xuất để bảo vệ tài sản và ứng phó với các cuộc tấn công tương tự.
Phân tích nguyên tắc nạp tiền
Trước khi tìm hiểu về nạp tiền giả, chúng ta cần hiểu nguyên tắc nạp tiền của sàn giao dịch.
Một quy trình điển hình như sau:
1. Tạo địa chỉ ví
Sàn giao dịch chỉ định cho mỗi người dùng một địa chỉ ví duy nhất để nhận tiền nạp của người dùng. Các địa chỉ này thường được tạo tự động bởi hệ thống của sàn giao dịch. Khi người dùng nạp tiền, họ cần gửi tài sản kỹ thuật số đến một địa chỉ ví cụ thể trong tài khoản trao đổi.
2. Quét sổ cái chuỗi khối
Các nút của sàn giao dịch sẽ đồng bộ hóa với các nút khác trong mạng chuỗi khối để có được thông tin giao dịch và trạng thái chuỗi khối mới nhất. Khi nút trao đổi nhận được một khối mới, nó sẽ trích xuất ID giao dịch nạp lại của người dùng và số tiền tương ứng từ nội dung giao dịch có trong khối hoặc sự kiện thực hiện giao dịch do khối kích hoạt và thêm nó vào danh sách cần nạp lại.
3. Xác nhận tiền gửi
Trao đổi thường yêu cầu các giao dịch được coi là hợp lệ sau khi chúng đã nhận được một số xác nhận nhất định trong mạng chuỗi khối. Xác nhận có nghĩa là khối trao đổi được tham chiếu bởi một số khối nhất định và được xác minh và xác nhận bởi những người khai thác khác. Số lượng xác nhận được đặt bởi một sàn giao dịch có thể khác nhau đối với các mạng và tài sản kỹ thuật số khác nhau.
như hình ảnh cho thấy:
(Tấn công nạp tiền giả xảy ra ở bước 5 và 6)
Chế độ tấn công nạp tiền giả
Các sàn giao dịch là khu vực bị tin tặc tấn công nặng nề nhất, vì vậy các sàn giao dịch thường đặt máy chủ phía sau một hệ thống phòng thủ nghiêm ngặt và thậm chí là lưu trữ ngoại tuyến cho các dịch vụ cốt lõi là quản lý tiền. Tuy nhiên, do các yêu cầu về tính toàn vẹn dữ liệu của hệ thống chuỗi khối, các giao dịch độc hại sẽ không bị chặn bởi hệ thống bảo mật ngoại vi.
Cần lưu ý rằng cuộc tấn công nạp tiền giả mạo không phải là lỗ hổng trong chuỗi khối, mà kẻ tấn công sử dụng một số đặc điểm của chuỗi khối để xây dựng một giao dịch đặc biệt. Các giao dịch độc hại này sẽ khiến sàn giao dịch nhầm tưởng rằng đó là một yêu cầu nạp tiền thực sự hoặc xử lý cùng một yêu cầu nạp tiền nhiều lần. Sau một thời gian dài thực chiến, nhóm bảo mật SlowMist đã tổng hợp một số phương thức tấn công nạp tiền giả phổ biến:
Kể từ năm 2018, nhóm bảo mật SlowMist đã tiết lộ nhiều cuộc tấn công nạp tiền giả mạo, bao gồm:
Ngoài các cuộc tấn công nạp tiền giả công khai này, còn có nhiều phương thức tấn công cổ điển mà chúng tôi chưa tiết lộ, cũng như một số phương thức tấn công phổ biến. Ví dụ:
Nếu bạn muốn biết thêm chi tiết, vui lòng liên hệ với chúng tôi để thảo luận chuyên sâu.
Phân tích trường hợp: TON phục hồi Nạp tiền sai
Hầu như tất cả các chuỗi khối đều có vấn đề nạp tiền sai, nhưng một số cuộc tấn công rất dễ tránh, trong khi những cuộc tấn công khác yêu cầu nghiên cứu chuyên sâu về các đặc điểm của chuỗi khối để tránh nó.
Lấy TON nạp tiền giả làm ví dụ, chúng tôi sẽ cho bạn thấy cách những kẻ tấn công xảo quyệt sử dụng các đặc điểm của TON để tấn công các sàn giao dịch.
TON (The Open Network) là một dự án blockchain được khởi xướng bởi phần mềm truyền thông nổi tiếng Telegram, hỗ trợ triển khai các hợp đồng thông minh trên tài khoản người dùng.
Khi sàn giao dịch nạp tiền TON, theo phương pháp được mô tả trước đó, trước tiên, nó sẽ tạo địa chỉ nạp tiền cho người dùng, sau đó người dùng sẽ chuyển tài sản đến địa chỉ nạp tiền và cuối cùng xác nhận mục nhập.
Làm cách nào để một sàn giao dịch xác minh rằng một giao dịch thuộc về người dùng của nó? Hãy kiểm tra chuyển khoản bình thường thông qua giao diện RPC:
Thông thường, sàn giao dịch sẽ đánh giá xem đích đến trong_msg có phải là địa chỉ nạp tiền của người dùng hay không và nếu đúng như vậy, sau đó chuyển đổi giá trị số tiền theo độ chính xác và ghi có cho người dùng. Nhưng nó có an toàn không?
Các giao dịch TON có một tính năng là hầu hết tất cả các tin nhắn nội bộ được gửi giữa các hợp đồng thông minh đều có thể bị trả lại, nghĩa là cờ bị trả lại của chúng phải được đặt. Bằng cách đó, nếu hợp đồng thông minh mục tiêu không tồn tại hoặc một ngoại lệ chưa được xử lý được đưa ra trong khi xử lý tin nhắn, tin nhắn sẽ bị "trả lại" trở lại với giá trị ban đầu của số dư (trừ tất cả các lần chuyển tin nhắn và phí gas).
Nói cách khác, nếu kẻ tấn công độc hại chuyển tiền vào tài khoản chưa triển khai hợp đồng bằng cách đặt cờ trả lại, thì số tiền nạp sẽ được trả lại vào tài khoản ban đầu sau khi trừ phí xử lý. Sàn giao dịch đã phát hiện hồ sơ nạp tiền của người dùng, nhưng họ không ngờ rằng số tiền được nạp lại sẽ quay trở lại và “trả lại” trở lại tài khoản của kẻ tấn công.
Hãy xem xét giao dịch này. So với giao dịch bình thường, chúng ta có thể thấy rằng có thêm một thông báo ra_tin nhắn. Thông báo ra_tin nhắn này là hoạt động trong đó tiền được trả về tài khoản ban đầu.
Nếu sàn giao dịch chỉ kiểm tra_msg, nó sẽ nhập nhầm tài khoản cho kẻ tấn công, dẫn đến mất tài sản nền tảng.
Các phương pháp hay nhất để ngăn chặn các cuộc tấn công nạp tiền giả
Một số chiến lược cơ bản để ngăn chặn các cuộc tấn công nạp tiền giả là:
**1. Cơ chế xác nhận nhiều lần: **Đặt nhiều yêu cầu xác nhận cho việc nạp tiền để đảm bảo rằng giao dịch chỉ được coi là hợp lệ sau khi đã được xác nhận đủ trên blockchain. Số lượng xác nhận phải được đặt theo tính bảo mật của các tài sản kỹ thuật số khác nhau và tốc độ xác nhận của chuỗi khối;
**2. Khớp giao dịch nghiêm ngặt: **Khi sàng lọc các giao dịch của người dùng khỏi khối, chỉ những giao dịch hoàn toàn khớp với chế độ chuyển thông thường mới có thể được tự động đặt vào tài khoản và cuối cùng kiểm tra sự thay đổi số dư;
**3. Hệ thống kiểm soát rủi ro: **Thiết lập hệ thống kiểm soát rủi ro hợp lý để giám sát và phát hiện các hoạt động giao dịch bất thường. Hệ thống có thể xác định các rủi ro tiềm ẩn và các hành vi bất thường bằng cách phân tích các kiểu nạp tiền, tần suất giao dịch, quy mô giao dịch và các yếu tố khác;
**4. Xét duyệt thủ công: ** Đối với các giao dịch có số lượng lớn hoặc rủi ro cao, việc xét duyệt bổ sung sẽ được thực hiện theo cơ chế xét duyệt thủ công. Xem xét thủ công có thể tăng độ tin cậy của các giao dịch, phát hiện các giao dịch bất thường và ngăn chặn các khoản nạp tiền độc hại;
**5. Bảo mật API: ** Thực hiện xác thực và ủy quyền bảo mật trên các giao diện API bên ngoài để tránh truy cập trái phép và các lỗ hổng tiềm ẩn. Thường xuyên xem xét tính bảo mật của giao diện API, đồng thời tiến hành cập nhật và sửa chữa bảo mật kịp thời;
**6. Hạn chế rút tiền: ** Sau khi nạp tiền, việc rút tài sản đã nạp của người dùng sẽ tạm thời bị hạn chế. Điều này có thể cung cấp cho sàn giao dịch đủ thời gian để xác nhận tính hợp lệ của việc nạp tiền và ngăn chặn các cuộc tấn công nạp tiền giả tiềm ẩn;
**7. Cập nhật bảo mật: **Cập nhật kịp thời phần mềm và hệ thống sàn giao dịch để khắc phục các lỗ hổng bảo mật có thể xảy ra. Liên tục theo dõi trạng thái bảo mật của sàn giao dịch và hợp tác với các chuyên gia bảo mật mạng để tiến hành kiểm tra bảo mật thường xuyên và kiểm tra thâm nhập.
Để ngăn chặn việc nạp tiền sai vào một chuỗi khối cụ thể, cần phải đọc qua tài liệu chính thức để hiểu các đặc điểm của giao dịch.
Hệ thống phát hiện nạp tiền giả của Badwhale
Nhóm bảo mật SlowMist đã phát triển hệ thống kiểm tra nạp tiền giả Badwhale trong thực tiễn phòng thủ và tấn công dài hạn, được phát triển đặc biệt cho nền tảng quản lý tài sản kỹ thuật số. Hệ thống này được thiết kế để giúp họ phát hiện và đánh giá khả năng ngăn chặn các cuộc tấn công nạp tiền giả và tối ưu hóa cơ chế phòng thủ của họ để đảm bảo an toàn cho tài sản của người dùng và độ tin cậy của nền tảng quản lý tài sản kỹ thuật số.
Badwhale là một hệ thống thương mại độc quyền được phát triển bởi nhóm bảo mật SlowMist trong nhiều năm. Nó đã phục vụ hàng chục nền tảng trong nhiều năm và đã tránh được rủi ro nạp nhầm tài sản ước tính lên tới hàng tỷ đô la.
Tính năng đặc biệt:
**1. Mô phỏng các cuộc tấn công nạp tiền giả:**Badwhale có thể mô phỏng nhiều loại tấn công nạp tiền giả khác nhau và tự động gửi yêu cầu nạp tiền giả tới nền tảng quản lý tài sản kỹ thuật số đã thử nghiệm. Điều này giúp đánh giá các điểm yếu của nền tảng quản lý tài sản kỹ thuật số và khám phá các lỗ hổng và rủi ro bảo mật tiềm ẩn;
2. Các kịch bản thử nghiệm đa dạng: Hệ thống cung cấp nhiều kịch bản thử nghiệm và chế độ tấn công khác nhau, có thể kiểm tra toàn diện khả năng chống nạp tiền giả của nền tảng quản lý tài sản kỹ thuật số theo tình hình thực tế;
**3. Khả năng mở rộng cao: **Badwhale được thiết kế như một hệ thống thử nghiệm có khả năng mở rộng cao, hỗ trợ thử nghiệm cho các nền tảng quản lý tài sản kỹ thuật số và nền tảng chuỗi khối khác nhau, đồng thời có thể linh hoạt thích ứng với nhu cầu của các kiến trúc hệ thống và môi trường kỹ thuật khác nhau.
Badwhale hiện đang hỗ trợ hàng trăm chuỗi công khai và hàng chục nghìn mã thông báo để thử nghiệm nạp tiền giả, bao gồm:
(ETH/BSC/HECO/RON/CFX-evm/FIL-evm/AVAX-evm/FTM-evm/RSK/GNO/MOVR-evm/GLMR-evm/KLAY/FSN/CELO/CANTO/EGLD/AURORA-evm /TLC/WEMIX/CORE/VS/WAN/KCCL/OKX...)
Với sự trợ giúp của các chức năng mạnh mẽ của Badwhale, nền tảng quản lý tài sản kỹ thuật số có thể tiến hành thử nghiệm phòng thủ nạp tiền giả toàn diện để hiểu hiệu suất của nó khi đối mặt với các cuộc tấn công nạp tiền giả, tối ưu hóa cơ chế phòng thủ và cải thiện tính bảo mật của tài sản người dùng. Việc giới thiệu Badwhale sẽ giúp nền tảng quản lý tài sản kỹ thuật số tăng cường bảo vệ an ninh, cải thiện khả năng chống lại các cuộc tấn công nạp tiền giả và đảm bảo độ tin cậy của các giao dịch tài sản kỹ thuật số và niềm tin của người dùng.
Phần kết luận
Thông qua nghiên cứu chuyên sâu về các phương pháp đột phá của các cuộc tấn công nạp tiền giả, chúng ta có thể hiểu rõ hơn về tầm quan trọng của các nền tảng quản lý tài sản kỹ thuật số trong việc bảo vệ tài sản của người dùng và duy trì bảo mật. Chỉ bằng cách tăng cường các biện pháp bảo vệ an ninh, liên tục theo dõi các lỗ hổng và thực hiện các biện pháp đối phó thích hợp, nền tảng quản lý tài sản kỹ thuật số mới có thể đối phó hiệu quả với các cuộc tấn công nạp tiền giả và các mối đe dọa bảo mật khác, đồng thời đảm bảo uy tín và độ tin cậy của các giao dịch tài sản kỹ thuật số.