Lỗ hổng trình điều khiển máy in tiết lộ mối đe dọa mới đối với ví tiền điện tử
Đơn vị an ninh mạng MistTrack vừa phát hiện một mối đe dọa mới trong lĩnh vực tiền mã hóa, cho phép kẻ tấn công đánh cắp tài sản từ ví người dùng thông qua một lỗ hổng trong trình điều khiển máy in.
Trong một thông báo gần đây, bộ phận an ninh mạng của SlowMist cảnh báo về loại mã độc khó phát hiện, đang len lỏi vào hệ sinh thái Web3. Theo đó, trình điều khiển máy in tưởng chừng hợp pháp lại được tích hợp sẵn một chương trình cửa hậu, cho phép chiếm quyền kiểm soát clipboard và thay thế địa chỉ ví tiền điện tử mà người dùng vừa sao chép bằng địa chỉ của kẻ tấn công.
“Ngoài chức năng thông thường, trình điều khiển chính thức của máy in này còn chứa chương trình cửa hậu. Nó sẽ chiếm quyền clipboard và thay thế địa chỉ ví tiền điện tử của người dùng bằng địa chỉ của kẻ tấn công”, nền tảng an ninh Web3 cho biết.
Theo dữ liệu on-chain từ MistTrack, kẻ tấn công đã đánh cắp ít nhất 9,3086 Bitcoin (BTC) từ hàng chục địa chỉ trên chuỗi. Với giá trị hiện tại, số tài sản bị đánh cắp tương đương gần 1 triệu USD (khoảng 989.383 USD). Địa chỉ ví của kẻ tấn công đã hoạt động từ ngày 22/4/2016, với giao dịch on-chain gần nhất được ghi nhận vào ngày 14/3/2024, liên kết với nhiều sàn giao dịch tiền điện tử.
Cách thức hoạt động của lỗ hổng
Các trường hợp khai thác mã độc ẩn, như vụ việc được MistTrack nhấn mạnh, thường xuất phát từ việc kẻ tấn công phân phối mã độc thông qua các phần mềm yêu cầu cài đặt vào thiết bị người dùng như laptop, máy tính để bàn hoặc thiết bị di động.
Trong vụ việc này, chương trình cửa hậu được chèn vào trình điều khiển máy in trông hợp pháp. Sau khi được cài đặt, trình điều khiển này sẽ âm thầm giám sát clipboard của người dùng – nơi lưu trữ tạm thời dữ liệu được sao chép – để tìm kiếm địa chỉ ví tiền điện tử. Nếu người dùng sao chép một địa chỉ ví nhằm thực hiện giao dịch, mã độc sẽ thay thế địa chỉ đó bằng địa chỉ ví của kẻ tấn công. Khi người dùng dán địa chỉ từ clipboard mà không kiểm tra kỹ, tài sản sẽ bị chuyển đến ví của kẻ tấn công thay vì người nhận dự kiến.
Một lỗ hổng tương tự từng được CyberArk cảnh báo vào tháng 3/2025, liên quan đến mã độc MassJacker. Loại mã độc này cho phép kẻ tấn công truy cập clipboard của người dùng, thay đổi địa chỉ ví tiền điện tử gốc và chuyển hướng giao dịch về ví do chúng kiểm soát, từ đó chiếm đoạt tài sản. Khác với lỗ hổng trình điều khiển máy in, MassJacker sử dụng hơn 750.000 địa chỉ ví khác nhau thay vì chỉ một địa chỉ lặp lại. Mã độc này thường lây nhiễm qua các phần mềm lậu hoặc bị bẻ khóa tải về từ các trang web không chính thống.
Vụ việc trên tiếp tục gióng lên hồi chuông cảnh báo về an ninh mạng trong lĩnh vực tiền mã hóa, nhấn mạnh tầm quan trọng của việc kiểm tra kỹ lưỡng nguồn gốc phần mềm và thiết bị trước khi cài đặt, cũng như thói quen xác thực địa chỉ ví khi thực hiện giao dịch.
