CertiK cảnh báo các bản vá eMudhra của Big Tech có thể khiến bot tiền mã hóa gặp rủi ro

Các bot giao dịch tiền điện tử và ứng dụng sàn giao dịch có thể vẫn bị ảnh hưởng bởi lỗ hổng bảo mật chứng chỉ eMudhra bất chấp các bản sửa lỗi khẩn cấp từ các công ty công nghệ lớn, theo công ty bảo mật blockchain CertiK.

Đến thứ Ba, các gã khổng lồ công nghệ bao gồm Google, Apple và Microsoft đã chặn tám chứng chỉ dễ bị tổn thương do eMudhra của Ấn Độ cấp, nhưng các bản sửa lỗi có thể không bảo vệ các ứng dụng tiền điện tử sử dụng các hệ thống bảo mật riêng biệt, giám đốc cấp cao về bảo mật tài sản kỹ thuật số của CertiK, Peiyu Wang, nói với Cointelegraph.

“Việc các trình duyệt lớn chặn sẽ làm giảm đáng kể rủi ro cho các khách hàng nhận và thực thi chúng,” Wang nói. “Một số ứng dụng bên ngoài hệ sinh thái trình duyệt không thực thi Certificate Transparency hoặc nhận được các biện pháp bảo vệ thu hồi tương tự.”

Wang nhấn mạnh rằng các dịch vụ tiền điện tử vốn dĩ không dễ bị tổn thương trước lỗ hổng này hơn các ngành công nghiệp khác, nhưng những kẻ tấn công có thể lợi dụng các chứng chỉ bị xâm nhập để mạo danh các kết nối HTTPS được sử dụng bởi các sàn giao dịch, giao diện ví và API.

Những kẻ tấn công có thể mạo danh cụ thể các dịch vụ tiền điện tử và thay thế địa chỉ nạp tiền hoặc lừa người dùng phê duyệt các giao dịch độc hại, Wang nói. Những cuộc tấn công như vậy cũng yêu cầu chặn hoặc chuyển hướng lưu lượng internet của người dùng, trong khi chỉ riêng các khóa của cơ quan chứng nhận bị xâm nhập sẽ không làm lộ khóa riêng của ví.

Wang kêu gọi các nhà vận hành tiền điện tử cập nhật phần mềm và kho lưu trữ chứng chỉ tin cậy của họ và xác minh rằng các ứng dụng của họ từ chối các chứng chỉ bị ảnh hưởng.

Felix Ng đã đóng góp báo cáo.

Liên quan: Cảnh báo sớm về implant của Ledger đáng lẽ cần nhiều hành động hơn, Karpelès nói