Sự kiện hack quy mô lớn của tiện ích mở rộng Trust Wallet, yêu cầu bồi thường bị phát hiện yêu cầu sai sự thật trong quá trình xét duyệt｜Chỉ có khoảng 2,600 trong số 5,000 đơn đăng ký được xác định là thiệt hại hợp lệ

Vấn đề độ tin cậy của yêu cầu bồi thường nổi bật

Ví quản lý tự quản lý “Trust Wallet” đang đối mặt với các thách thức mới trong quá trình xử lý bồi thường. Theo tuyên bố của CEO Ewin Chen, liên quan đến vụ việc mã độc xâm nhập vào tiện ích mở rộng trình duyệt xảy ra vào ngày 25 tháng 12, số lượng yêu cầu bồi thường đã tiếp nhận khoảng 5.000 đơn, trong khi số ví bị thiệt hại thực tế chỉ là 2.596.

Về sự chênh lệch lớn này, ông Chen nhận định: “Có khả năng cao là có nhiều yêu cầu giả mạo hoặc trùng lặp.” Công ty đã đưa ra chính sách ưu tiên độ chính xác hơn tốc độ và đã áp dụng quy trình xác minh nghiêm ngặt để chỉ bồi thường cho các nạn nhân hợp lệ.

Phân tích pháp y kỹ thuật để xác định nạn nhân

Nhóm của Trust Wallet hiện đang triển khai các công việc xác minh phức tạp. Phương pháp nhận diện của công ty kết hợp nhiều điểm dữ liệu như lịch sử giao dịch, thông tin phiên bản tiện ích mở rộng, bằng chứng sở hữu ví, v.v. Ông Chen cũng chỉ ra rằng có dấu hiệu cho thấy kẻ tấn công đã hiểu rõ mã nguồn của Trust Wallet, và cuộc điều tra pháp y kỹ thuật đang được tiến hành song song.

Tổng thiệt hại ước tính khoảng 700 triệu USD (khoảng 11 nghìn tỷ VND), và các nhân viên của công ty mẹ cùng ông Champong Jao đã tuyên bố sẽ bồi thường toàn bộ thiệt hại hợp lệ. Tuy nhiên, công ty rõ ràng đã xác định chính sách xử lý hoàn trả theo từng giai đoạn nhằm ngăn chặn dòng chảy tiền vào các đối tượng giả mạo.

Thực trạng các mối đe dọa an ninh

Vấn đề tấn công mạng bắt nguồn từ mã độc trong tiện ích mở rộng Chrome (phiên bản 2.68). Sau khi các nhà nghiên cứu tiền điện tử phát hiện, công ty đã phát hành khẩn cấp phiên bản sửa lỗi (phiên bản 2.69) và khuyến nghị người dùng vô hiệu hóa tiện ích mở rộng.

Điểm quan trọng là, không ảnh hưởng đến ứng dụng di động và các tiện ích mở rộng trình duyệt khác đã được xác nhận. Công ty đã phản ứng nhanh để ngăn chặn thiệt hại lan rộng, và ngày 27 tháng 12 đã chính thức bắt đầu tiếp nhận đơn yêu cầu bồi thường qua cổng hỗ trợ chính thức.

Cảnh báo về lừa đảo phishing

Khi bắt đầu quá trình bồi thường, các rủi ro mới cũng xuất hiện. Có các hoạt động lừa đảo phishing yêu cầu người dùng nhập dữ liệu vào các biểu mẫu đáng ngờ dưới danh nghĩa bồi thường, và Trust Wallet cảnh báo không phản hồi các hướng dẫn ngoài trang hỗ trợ chính thức.

Người dùng bị thiệt hại khi nộp đơn yêu cầu bồi thường cần cung cấp địa chỉ email, địa chỉ ví, địa chỉ nhận của kẻ tấn công, và các thông tin khác qua biểu mẫu chuyên dụng.

Cảnh báo toàn ngành ví tự quản lý

Vụ việc lần này đã phơi bày điểm yếu của ví tự quản lý. Trong bối cảnh ví mở rộng qua tiện ích trình duyệt, các kênh cập nhật phần mềm (chuỗi cung ứng) trở thành một điểm tấn công tiềm năng.

Các chuyên gia trong ngành nhận định rằng, “Ngay cả với ví tự quản lý, nơi người dùng giữ chìa khóa riêng, vẫn còn phụ thuộc vào phân phối ứng dụng và cập nhật phần mềm tập trung.” Các chuyên gia nhấn mạnh việc sử dụng các bản dựng có thể tái tạo, tăng cường kiểm tra tính toàn vẹn, và phân tán quá trình cập nhật là rất cần thiết để nâng cao độ tin cậy. Việc xem xét lại các tiêu chuẩn an ninh trong toàn ngành là cấp bách.

Phản ứng của công ty này có thể tạo ra tiền lệ quan trọng cho cách thức xử lý bồi thường và xác minh an ninh trong ngành ví tiền điện tử.