Trang chủ
Sàn giao dịch
Admin
Nguồn ảnh: william-hook/unplash
Một ứng dụng iOS có tên FomoPeek đang bị cáo buộc là nguồn cơn của các vụ đánh cắp tiền điện tử với tổng trị giá gần 580.000 USD. Theo kết quả điều tra từ công ty bảo mật blockchain SlowMist, ứng dụng này đã vượt qua kiểm duyệt của Apple App Store và chứa các mã độc có khả năng can thiệp sâu vào hệ thống iOS.
Cụ thể, các phiên bản 1.1 và 1.2 của FomoPeek (phát hành lần lượt vào ngày 9/9 và 12/9) được phát hiện tích hợp hai mô-đun độc hại. Các mô-đun này sử dụng lỗ hổng kernel để thoát khỏi cơ chế sandbox của Apple, từ đó giành quyền truy cập trái phép vào dữ liệu Keychain và tập tin của các ứng dụng khác trên thiết bị. Đến phiên bản 1.3 phát hành ngày 17/9, các thành phần nguy hiểm này đã được loại bỏ.
Cơ chế tấn công và các ứng dụng bị nhắm mục tiêu
SlowMist cho biết quá trình điều tra được thực hiện cùng đội ngũ bảo mật của OKX, sau khi nhận được báo cáo từ những người dùng bị mất tài sản. Khung tấn công (exploit framework) được nhúng trong ứng dụng hỗ trợ các phiên bản iOS từ 12.0 đến 18.7.2 và 26.0 đến 26.1. Khi người dùng khởi chạy ứng dụng, mã độc sẽ kích hoạt và nhận lệnh từ máy chủ từ xa để thực thi việc thu thập dữ liệu.
Các nhà nghiên cứu xác nhận ứng dụng này nhắm mục tiêu vào 19 ứng dụng lưu trữ ghi chú và ví tiền điện tử, bao gồm MetaMask, Trust Wallet, SafePal, OKX Wallet và Apple Notes. Tuy nhiên, phía SlowMist lưu ý rằng việc bị nhắm mục tiêu không đồng nghĩa với việc mọi khóa riêng tư (private key) hay cụm từ khôi phục (seed phrase) của người dùng đều chắc chắn bị trích xuất.
Dấu vết dòng tiền và khuyến cáo cho người dùng
Dữ liệu on-chain cho thấy một địa chỉ ví liên quan đến hacker đã nhận được khoảng 579.984 USDT kể từ ngày 15/9. Các khoản tiền này sau đó đã được luân chuyển qua nhiều địa chỉ ví khác nhau, đồng thời được phân tán thông qua các dịch vụ như FixedFloat, KuCoin và cce.cash. Hiện tại, công ty bảo mật vẫn đang tiếp tục truy vết các dòng tiền này.
Đối với những người dùng đã từng cài đặt các phiên bản FomoPeek chứa mã độc, SlowMist đưa ra lời cảnh báo nghiêm trọng: hãy coi như thông tin ví của mình đã bị xâm phạm. Người dùng được khuyến nghị nên tạo một ví mới trên thiết bị an toàn và chuyển toàn bộ tài sản sang đó. Các chuyên gia cũng lưu ý rằng việc gỡ bỏ ứng dụng hoặc bật Chế độ phong tỏa (Lockdown Mode) sau khi đã bị tấn công sẽ không thể thu hồi được các dữ liệu nhạy cảm đã bị đánh cắp trước đó.
Theo Cointelegraph
