Lỗ hổng Fearless Wallet kéo dài 20 tháng phơi bày rủi ro từ việc rút DOT nhanh hơn

Lỗ hổng kéo dài 20 tháng của Fearless Wallet làm lộ nguy cơ bảo mật tiềm ẩn trong thời gian chờ rút staking ngắn hơn của Polkadot. Polkadot Community Foundation cảnh báo hôm 21 tháng 10 rằng tiện ích mở rộng trình duyệt của bên thứ ba này đã làm lộ khóa riêng tư của người dùng kể từ tháng 2 năm 2025, có khả năng tạo điều kiện cho các giao dịch trái phép. Cuộc điều tra của Polkadot Technical Fellowship phát hiện mã độc có thể trích xuất thông tin xác thực ví. Quỹ cho biết 8 người dùng đã báo cáo các giao dịch trái phép với tổng cộng 17.286 DOT. Quỹ khuyến nghị người dùng bị ảnh hưởng tạo khóa riêng tư mới bằng một ví khác và lập tức chuyển số tiền còn lại.

Công ty bảo mật blockchain SlowMist xác định các phiên bản tiện ích mở rộng 3.0.1 và 3.0.3 đến 3.0.5 bị ảnh hưởng. SlowMist cho biết mã độc có thể thu thập cụm từ khôi phục, khóa riêng tư và tệp keystore khi ví được mở khóa, rồi gửi thông tin xác thực đến máy chủ bên ngoài thông qua các yêu cầu HTTP. Tính năng cấu hình từ xa có thể kích hoạt hoặc vô hiệu hóa mã độc, khiến việc phát hiện có thể khó khăn hơn. Các nhà điều tra cho biết mã độc đã bị xóa khỏi mã nguồn vào tháng 6. Họ cho biết công tắc từ xa đã bị vô hiệu hóa vào tháng 10. Tuy nhiên, những thay đổi này không thể vô hiệu hóa thông tin xác thực mà kẻ tấn công đã lấy được.

Polkadot triển khai Referendum 1910 vào ngày 6 tháng 7, rút thời gian hủy staking tối đa của người đề cử từ 28 ngày xuống còn 2 ngày. Cuộc trưng cầu này cũng loại bỏ các hình phạt cắt giảm tài sản đối với người đề cử. Những thay đổi này nhằm thu hút người tham gia staking bằng cách giúp họ tiếp cận tiền nhanh hơn mà không phải đối mặt với mức độ rủi ro bị cắt giảm tài sản như các validator. Việc rút tiền nhanh hơn cải thiện thanh khoản cho người nắm giữ token nhưng rút ngắn thời gian để bảo vệ các tài khoản staking bị xâm nhập trước khi tiền có thể được chuyển đi. Các yêu cầu rút staking mới của người đề cử có thể được thực hiện trong khoảng 24 đến 48 giờ, tùy theo lịch staking.

Thời gian chờ trước đây, có thể lên đến 4 tuần, giúp chủ tài khoản hoặc chuyên gia khôi phục có thêm thời gian phát hiện các yêu cầu hủy staking đáng ngờ và can thiệp. Thời gian ngắn hơn đặc biệt ảnh hưởng đến các tài khoản bị xâm nhập đang nắm giữ DOT được staking, khi kẻ tấn công bắt đầu mở khóa tiền trước khi chủ tài khoản phát hiện vụ xâm nhập. Ngày 30 tháng 6, PAPI Rescue, do nhóm polkadot-api phát triển, cảnh báo rằng việc rút thời gian hủy staking từ 28 ngày xuống còn 2 era có thể khiến thời gian can thiệp không đủ, trừ khi người dùng nhanh chóng liên hệ với chuyên gia khôi phục. Cảnh báo được đưa ra trước cả khi thay đổi được triển khai vào tháng 7 và trước cảnh báo bảo mật của Polkadot hồi tháng 10. Sau đó, quỹ khuyến nghị những người nắm giữ tài sản bị ảnh hưởng và đang bị hạn chế cân nhắc sử dụng PAPI Rescue trước khi hủy staking, vì các lựa chọn khôi phục có thể thay đổi khi tiền có thể chuyển đi.

Chưa có kết luận cho thấy thời gian hủy staking ngắn hơn là nguyên nhân dẫn đến bất kỳ giao dịch trái phép nào do người dùng Fearless Wallet báo cáo. Các yêu cầu hủy staking được gửi trước khi bản nâng cấp tháng 7 có hiệu lực vẫn giữ lịch trình cũ. Validator và một số số dư bị khóa khác vẫn chịu các hạn chế riêng.

PAPI Rescue cho biết dịch vụ đã khôi phục hơn 250.000 USD tài sản từ các tài khoản bị xâm nhập và quảng bá tỷ lệ thành công 100% đối với những trường hợp đủ điều kiện mà dịch vụ xử lý. Quy trình khôi phục xác minh quyền sở hữu hợp pháp và đánh giá xem các quy tắc giao dịch và staking của Polkadot còn có thể bảo vệ số tiền bị khóa hoặc dự trữ hay không. Việc nắm giữ khóa riêng tư thường trao cho kẻ tấn công quyền ký giao dịch tương đương với quyền của chủ sở hữu hợp pháp. Do đó, khả năng khôi phục phụ thuộc vào việc các hạn chế của mạng lưới còn ngăn được giao dịch hay không và liệu việc can thiệp còn khả thi về mặt kỹ thuật hay không. Các thay đổi hồi tháng 7 làm tăng tầm quan trọng của thời điểm can thiệp, nhưng PAPI Rescue không thể bảo đảm khôi phục và có thể không giúp được sau khi tài sản vượt khỏi các hạn chế giao thức hiện hành.

Các nhà điều tra của Polkadot không tìm thấy mã độc tương ứng trong những ứng dụng di động được kiểm tra. Tuy nhiên, người dùng vẫn có nguy cơ nếu nhập thông tin xác thực đã bị lộ vào một ứng dụng khác, vì kẻ tấn công có thể đã biết các khóa riêng tư đó. Đổi mật khẩu, cài đặt lại tiện ích mở rộng và dùng lại cùng cụm từ khôi phục trong ví khác sẽ không giải quyết được việc lộ thông tin ban đầu. Quỹ cũng cảnh báo người dùng về các đề nghị khôi phục không được yêu cầu và nhắc họ tuyệt đối không chia sẻ khóa riêng tư, kể cả với các nhóm khôi phục. Những người nắm giữ DOT bị ảnh hưởng đang staking hoặc bị khóa theo cách khác cần đánh giá các hạn chế rút tiền còn lại trước khi hành động, vì bắt đầu rút tiền có thể khiến kẻ tấn công sớm chuyển được tài sản hơn. Các dịch vụ khôi phục không bảo đảm rằng tiền vẫn có thể được bảo vệ sau khi cơ hội đó qua đi.