Google Chrome đã nhận được bản vá bảo mật quan trọng, nhưng ví tiền điện tử của bạn vẫn có thể gặp rủi ro.

Sổ cái CTO Charles Guillemet là thúc giục Người dùng tiền điện tử nên cập nhật Google Chrome ngay lập tức sau khi Google phát hành Bản vá bảo mật này khắc phục 26 lỗ hổng, trong đó có 4 lỗ hổng được xếp hạng nghiêm trọng và 22 lỗ hổng được xếp hạng mức độ nghiêm trọng cao. 

Các lỗ hổng bao gồm lỗi quản lý bộ nhớ có thể cho phép kẻ tấn công không được xác thực thực thi mã độc từ xa thông qua một trang web được tạo ra đặc biệt.

Giám đốc công nghệ của Ledger đã thực sự nói gì?

Guillemet đã công khai cảnh báo này, đồng thời đưa ra một nhận xét sắc bén vượt ra ngoài bản vá lỗi Chrome. Ông nói: "Đây là lời nhắc nhở hữu ích rằng bạn không thể tin tưởng trình duyệt hay máy tính của mình để giữ những bí mật quý giá." Bình luận này nhắm thẳng vào những người dùng tiền điện tử dựa vào ví và tiện ích mở rộng trên trình duyệt cho các hoạt động hàng ngày.

Các lỗ hổng được phát hiện trong chu kỳ vá lỗi này thuộc ba loại lỗi quản lý bộ nhớ kinh điển:

• Tình trạng sử dụng sau khi đã giải phóng (use-after-free), trong đó một chương trình tiếp tục sử dụng bộ nhớ sau khi bộ nhớ đã được giải phóng.
• Lỗi tràn bộ đệm heap, xảy ra khi dữ liệu được ghi vượt quá dung lượng bộ nhớ được cấp phát.
• Lỗi truy cập ngoài phạm vi, khi mã đọc hoặc ghi dữ liệu vào vùng nhớ nằm ngoài phạm vi cho phép.

Mỗi lỗ hổng này đều có thể bị khai thác để ghi mã độc vào bộ nhớ hệ thống và thực thi mã từ xa, thường là không cần người dùng làm gì ngoài việc truy cập vào một trang web độc hại.

Liệu lỗ hổng bảo mật trên Chrome có thể thực sự rút sạch tiền điện tử trong ví của bạn?

Tiền điện tử của bạn được lưu trữ trên chuỗi khối, chứ không phải bên trong trình duyệt. Tuy nhiên, một lỗ hổng bảo mật trình duyệt hoạt động hiệu quả không cần phải truy cập trực tiếp vào chuỗi khối để gây ra thiệt hại thực sự. Nó nhắm mục tiêu vào lớp giao diện ví, và đó là nơi rủi ro trở nên cụ thể.

Các ví điện tử trên trình duyệt như MetaMask, Rabby và Phantom chủ yếu hoạt động như các tiện ích mở rộng của Chrome. Nếu một lỗ hổng bảo mật được khai thác bên trong trình duyệt, kẻ tấn công có thể tương tác với giao diện người dùng của ví theo nhiều cách khác nhau.

Cách kẻ tấn công lợi dụng lỗ hổng trình duyệt để nhắm vào người dùng ví điện tử.

Sau khi xâm nhập vào môi trường trình duyệt, các phương pháp tấn công phổ biến bao gồm:

• Thông báo về ví giả: Các lớp phủ giả mạo MetaMask hoặc màn hình xác nhận ví khác yêu cầu người dùng "kết nối lại" hoặc "nhận" tài sản. Nhấp chuột vào đó đồng nghĩa với việc chấp thuận giao dịch, chuyển tiền vào ví của kẻ tấn công.
• Phê duyệt chi tiêu: Thay vì đánh cắp tiền ngay lập tức, lỗ hổng này yêu cầu chữ ký phê duyệt token. Điều này cho phép hợp đồng thông minh của kẻ tấn công chuyển token vào bất kỳ thời điểm nào trong tương lai.
• Đánh cắp phiên: Nếu lỗ hổng bảo mật thu thập được cookie phiên từ một tab Exchange đang mở, nó có thể hoạt động như người dùng đó cho đến khi phiên kết thúc, di chuyển tài sản mà không cần tương tác thêm.
• Lạm dụng clipboard và thao tác bàn phím: Một số lỗ hổng bảo mật theo dõi nội dung clipboard để chặn các địa chỉ ví hoặc mật khẩu đã được sao chép.

Đây không phải là kịch bản lý thuyết. Vào tháng 12 năm 2025, Trust Wallet xác nhận Một sự cố bảo mật liên quan đến tiện ích mở rộng Chrome phiên bản 2.68, trong đó mã độc đã lặp lại quá trình xử lý các ví được lưu trữ, kích hoạt yêu cầu cụm từ ghi nhớ, giải mã chúng bằng mật khẩu của người dùng và gửi chúng đến máy chủ do kẻ tấn công kiểm soát. Khoảng 7 triệu đô la đã bị đánh cắp, bao gồm khoảng 3 triệu đô la Bitcoin và hơn 3 triệu đô la Ethereum. 

Khám phá những dự án đầy hứa hẹn...

Các dự án đầy hứa hẹn...

(Quảng cáo)

Bài viết còn tiếp tục...

Chuyên gia điều tra blockchain ZachXBT đã xác nhận hàng trăm nạn nhân, với số tiền bị đánh cắp được chuyển qua ChangeNOW, FixedFloat và KuCoin để rửa tiền.

Đây không phải là lần đầu tiên Chrome gặp vấn đề về bảo mật.

Vào tháng 2025 năm XNUMX, Google vá Lỗ hổng bảo mật chưa được vá (zero-day) trên Chrome, được theo dõi với mã CVE-2025-10585, là một lỗi nhầm lẫn kiểu dữ liệu trong V8, công cụ JavaScript của Chrome. Lỗ hổng nhầm lẫn kiểu dữ liệu có nghĩa là trình duyệt có thể xử lý sai các đối tượng trong bộ nhớ, mở ra đường dẫn đến thực thi mã độc. Google đã xác nhận vào thời điểm đó rằng lỗ hổng này đang bị khai thác tích cực trước khi bản vá được phát hành.

Chu kỳ vá lỗi đó tuân theo cùng một mô hình như hiện tại: một lỗ hổng ở cấp độ bộ nhớ, bị khai thác tích cực trong thực tế và bản vá được triển khai nhanh chóng trên kênh Stable.

Lỗ hổng bảo mật "DarkSword" trên iOS mở ra thêm một mặt trận thứ hai.

Riêng biệt, Binance ban hành Một cảnh báo bảo mật dành cho người dùng iOS được đưa ra vào khoảng thời gian đó. Apple đã xác định một chuỗi khai thác nghiêm trọng có tên "DarkSword", ảnh hưởng đến các phiên bản iOS từ 18.4 đến 18.7. 

Khác với các cuộc tấn công dựa trên trình duyệt, DarkSword là một lỗ hổng cấp hệ thống có thể tự động kích hoạt mà không cần bất kỳ tương tác nào của người dùng khi truy cập vào một trang web bị xâm nhập. Nó có thể trích xuất dữ liệu nhạy cảm, bao gồm thông tin ví tiền điện tử, và xóa dấu vết của chính nó sau khi thực thi, khiến việc phát hiện sau đó trở nên khó khăn.

Người dùng tiền điện tử nên làm gì ngay bây giờ?

Các lỗ hổng bảo mật trình duyệt không phải là mới, nhưng hậu quả đối với người dùng tiền điện tử lại trực tiếp hơn so với người dùng internet thông thường. Một phiên trình duyệt bị xâm phạm có thể dẫn đến các giao dịch đã ký, đánh cắp quyền phê duyệt và rút sạch tiền trong ví, ngay cả khi tài sản cơ bản vẫn được lưu trữ an toàn trên chuỗi.

Các bước thực hiện trước mắt rất đơn giản:

• Cập nhật Google Chrome lên phiên bản mới nhất trong cài đặt trình duyệt của bạn.
• Hãy kiểm tra xem tất cả các tiện ích mở rộng ví, bao gồm MetaMask, Rabby và Phantom, đều đang sử dụng phiên bản mới nhất.
• Tránh tương tác với các thông báo nhắc nhở ví điện tử bất ngờ, yêu cầu kết nối lại hoặc thông báo yêu cầu nhận tài sản.
• Người dùng iOS nên cập nhật lên phiên bản hệ thống mới nhất để khắc phục lỗ hổng bảo mật DarkSword.

Luận điểm cốt lõi của Guillemet vẫn đúng bất kể lỗ hổng nào đang gây chú ý trong tuần này. Trình duyệt là một môi trường không thân thiện với các bí mật tài chính. Đối với người dùng quản lý lượng tiền điện tử đáng kể chỉ thông qua các tiện ích mở rộng của trình duyệt, việc tính toán rủi ro này cần được xem xét lại.

Trung Tâm Tài Liệu

1. Sổ cái CTO Charles Guillemet trên XBài đăng ngày 21 tháng 3

2. Ví Trust trên XBài đăng ngày 26 tháng 12

3. Theo báo cáo của Cyber ​​PressBản cập nhật Google Chrome khắc phục 26 lỗ hổng bảo mật, bao gồm cả lỗ hổng thực thi mã từ xa (RCE).

4. Theo báo cáo của The Hacker News: Google vá lỗi bảo mật chưa được phát hiện CVE-2025-10585 trên Chrome khi lỗ hổng V8 đang hoạt động đe dọa hàng triệu người dùng.