Hacker đã lợi dụng lỗ hổng email trên Reddit để đánh cắp hàng ngàn Bitcoin Cash như thế nào?

Hacker đã lợi dụng lỗ hổng email trên Reddit để đánh cắp hàng ngàn Bitcoin Cash như thế nào?
Theo: Tấn Minh Theo Trí Thức Trẻ
Thể loại: Khoa Học Công Nghệ
Hơn 2 tuần trước, cộng đồng mạng Reddit ủng hộ Bitcoin Cash (BCH) đã rộ lên thông tin nhiều tài khoản đang bị can thiệp bởi một phương thức tấn công mới đáng lo ngại.

Mới nghe qua có lẽ nhiều người sẽ nghĩ đến một cuộc đấu đá nội bộ giữa một bên là người dùng Bitcoin và một bên là đối thủ Bitcoin Cash, tuy nhiên hôm nay trang mạng xã hội nổi tiếng này đã chính thức công bố rằng đây là một vụ hack "vô tiền khoáng hậu" mở cửa cho các hacker truy cập vào các tài khoản Reddit được nhắm đến từ trước. Hơn thế nữa, các hacker còn lợi dụng lỗ hổng này để đánh cắp hàng ngàn USD dưới hình thức Bitcoin Cash (BCH).

Đầu tiên, các hacker đã tấn công tài khoản của một điều hành viên của kênh r/btc trên Reddit vào ngày 20/12. Nắm trong tay quyền truy xuất admin của tài khoản này, những kẻ tấn công đã tái cấu hình kênh r/btc sang kênh đối thủ là r/bitcoin.

Tài khoản Jessquit tóm tắt vụ việc này vào hôm 31/12 như sau:

"Tài khoản của tôi đã bị hack vài tiếng trước và mật mã đã bị thay đổi. Kẻ tấn công có thể đổi mật mã thông qua phương thức gởi một email khôi phục mật mã, sau đó bấm vào đường link trong email để reset mật mã đó dù tôi đã kích hoạt xác thực hai bước trên tài khoản Reddit và email của tôi không hề bị can thiệp".

Lỗ hổng này cho phép hacker yêu cầu reset mật mã của một tài khoản đã nhắm đến từ trước và bấm vào link reset mà không cần mở email. Làm thế nào mà việc này lại có thể thực hiện được? Nhiều giả thuyết đã được đưa ra, liệu có phải những người dùng Reddit trên kênh r/bitcoin đã gây sự, hay một admin của Reddit đã trở mặt?

Nhưng những gì mà người ta phát hiện ra được lại hoàn toàn khác. Nguyên nhân của vụ việc này xuất phát từ một tài khoản bot có tên là Tippr, vốn được dùng để khen thưởng cho một bình luận đặc biệt thú vị hoặc có ý nghĩa. Phương thức hoạt động của nó là đánh dấu một người dùng (được khen thưởng) và chỉ định một lượng tiền mã hoá nhất định, sau đó rút số BCH tương ứng từ "ví nóng" của bạn và chuyển nó đến người đó. Tipper hiện hoạt động trên cả Reddit lẫn Twitter (nơi nó cung cấp dịch vụ quyên góp cho các dự án nặng ký như Tor Project), thì việc rút tiền mã hoá từ các nguồn là khá dễ dàng.

Rob Danielson - người tạo ra Tippr - tin rằng thủ phạm có thể là "một kẻ nào đó nhận thấy chúng có cơ hội kiếm tiền nhanh bất ngờ". Theo anh, những kẻ tấn công đã cuỗm số tiền đâu đó khoảng từ 2000-4000 USD dưới hình thức BCH, bằng cách sử dụng các tài khoản (quản trị viên) bị hack để đưa ra lệnh rút tiền từ Tippr thông qua các tin nhắn cá nhân (pm) của Reddit.

Đây không phải là lần đầu tiên một con bot thu tiền tip trên Reddit gây ra vụ việc mất tiền. Tám tháng trước, cộng động Dogecoin đã choáng váng bởi một bài viết từ người tạo ra con bot dogetipbot cho biết anh này và các cộng sự đã "chôm" toàn bộ một quỹ từ thiện để tài trợ cho công việc kinh doanh đang bết bát của mình. Vụ việc Tippr cũng có một số điểm tương tự và cũng làm dấy lên những thuyết âm mưu như vụ Dogetipbot, dù Danielson đã ngay lập tức hành động để ngăn chặn vụ việc tiến xa hơn.

"Sau khi phát hiện vụ việc, tôi đã ngừng kích hoạt chức năng của Tippr trên Reddit" - anh này cho biết.

Sáng nay, Reddit đã đưa ra phản hồi thông qua tài khoản của kỹ sư u/gooeyblob, khẳng định lỗi này không phải do người dùng Reddit nào, mà xuất phát từ Mailgun - một dịch vụ bên thứ 3 mà Reddit sử dụng để gởi các email tự động. Reddit ước tính số lượng tài khoản bị can thiệp chưa tới 20.

"Một kẻ nào đó đã nhắm vào Mailgun và chiếm quyền kiểm soát các email reset mật mã của Reddit. Bản chất của lỗ hổng này là một người chưa được cấp phép có thể truy cập vào nội dung các email reset mật mã. Kẻ gây ra việc này không có quyền truy cập đến hệ thống của Reddit lẫn tài khoản email của người dùng Reddit nào. Chúng tôi đã quyết định chuyển các email reset mật mã sang một máy chủ email của chính mình".

Mailgun cũng đã xác nhận vụ việc này và khẳng định "các thông tin thanh toán của khách hàng không bị can thiệp". Theo Mailgun thì chưa đến 1% số khách hàng của họ bị ảnh hưởng bởi vụ việc.

Dù Reddit và Mailgun đã khẳng định vấn đề đã được giải quyết, nhưng bạn cũng nên bật chế độ xác thực hai bước trên Reddit, email hay bất kỳ dịch vụ có chứa thông tin nhạy cảm nào mà bạn sử dụng trực tuyến.

Câu hỏi cuối cùng là ai là kẻ đứng sau vụ việc này, và số BCH bị đánh cắp hiện đang ở đâu? Hiện tại không ai biết được!

Tham khảo: Gizmodo

Người đàn ông dành cả đời chế tạo áo giáp chống gấu: nhiều bài học đáng trân trọng

tinybook tinybook 3 tuần 11 giờ
Người đàn ông dành cả đời chế tạo áo giáp chống gấu: nhiều bài học đáng trân trọng
Ông thoát chết khi bị một con gấu tấn công, nhưng khi trở về an toàn, ông nhức nhối với một vết sẹo tinh thần. Từ đó, ý tưởng về bộ giáp chống gấu ra đời ...

Hãng hàng không Mỹ muốn sử dụng máy chụp cắt lớp 3D để soi hành lý của khách

tinybook tinybook 3 tuần 13 giờ
Hãng hàng không Mỹ muốn sử dụng máy chụp cắt lớp 3D để soi hành lý của khách
Từ nay tới cuối năm tới, 240 máy chụp loại này có thể được triển khai tại các sân bay Mỹ.

Chiêm ngưỡng súng trường tấn công “Rắn hai đầu” siêu độc đáo, siêu đắt đỏ của công ty Israel

tinybook tinybook 3 tuần 1 ngày
Chiêm ngưỡng súng trường tấn công “Rắn hai đầu” siêu độc đáo, siêu đắt đỏ của công ty Israel
Súng trường Gilboa Snake dùng đạn cỡ .223 Rem./5.56 NATO có hai bệ khóa nòng và hai nòng súng dài 9,5 inch với bước ren xoắn là 1:7

Thật khó tin khi hiệu ứng kĩ xảo khó nhất trong phim Vùng Đất Câm Lặng là lớp ngô dày 30 centimet

tinybook tinybook 3 tuần 1 ngày
Thật khó tin khi hiệu ứng kĩ xảo khó nhất trong phim Vùng Đất Câm Lặng là lớp ngô dày 30 centimet
Với kinh phí chỉ 17 triệu USD nhưng thu về tận 330 triệu USD. Đó là những con số biết nói cho thấy thành công vượt bậc của A Quite Place.

Ai là người quay/chụp lại khoảnh khắc Neil Armstrong trở thành người đầu tiên đặt chân lên Mặt Trăng?

tinybook tinybook 3 tuần 1 ngày
Ai là người quay/chụp lại khoảnh khắc Neil Armstrong trở thành người đầu tiên đặt chân lên Mặt Trăng?
Rõ ràng, bên cạnh việc chuẩn bị những thiết bị, tàu vũ trụ và mọi thứ chuyên môn liên quan tới việc hạ cánh và đặt chân lên Mặt Trăng, các chuyên gia còn phải chuẩn bị những giải pháp để ghi lại khoảnh khắc lịch sử này.

Nghiên cứu không cần thực hiện cũng đoán ra được: não người có nếp nhăn là vì con người thông minh

tinybook tinybook 3 tuần 2 ngày
Nghiên cứu không cần thực hiện cũng đoán ra được: não người có nếp nhăn là vì con người thông minh
Bộ não của loài người không hề gấp nếp một cách ngẫu nhiên - đó là một mô hình cụ thể biểu diễn các chức năng riêng biệt.

Khám phá WPA3: Lớp bảo mật Wi-Fi vững chắc cho kỷ nguyên kết nối của IoT

tinybook tinybook 3 tuần 2 ngày
Khám phá WPA3: Lớp bảo mật Wi-Fi vững chắc cho kỷ nguyên kết nối của IoT
Cùng với sự lên ngôi của kỷ nguyên IoT với các thiết bị kết nối thông minh thế hệ mới, công nghệ Wi-Fi cần một lớp bảo mật mới vững chắc hơn, và đó là lúc WPA3 ra đời.

Ở Guatemala có những ngôi mộ được sơn đủ mọi gam màu sặc sỡ để tôn vinh người đã mất

tinybook tinybook 3 tuần 2 ngày
Ở Guatemala có những ngôi mộ được sơn đủ mọi gam màu sặc sỡ để tôn vinh người đã mất
Trong tín ngưỡng văn hóa của Guatemala, cõi âm hay thế giới bên kia luôn được tôn vinh cao nhất và khía cạnh văn hóa này thể hiện rõ nhất ở chính cách trang trí các ngôi mộ trong nghĩa trang.

[Video] Xem cảnh phá dỡ tổ hợp bệ phóng tên lửa của NASA chỉ trong nháy mắt

tinybook tinybook 3 tuần 2 ngày
[Video] Xem cảnh phá dỡ tổ hợp bệ phóng tên lửa của NASA chỉ trong nháy mắt
Khi không còn hữu dụng nữa, bệ phóng tên lửa Launch Complex 17 của NASA đã bị phá dỡ để nhường chỗ cho một công trình khác tiện dung hơn.

Có một cánh đồng lúa đặc biệt chuyên tạo ra các nhân vật hoạt hình nổi tiếng ở Nhật Bản

tinybook tinybook 3 tuần 2 ngày
Có một cánh đồng lúa đặc biệt chuyên tạo ra các nhân vật hoạt hình nổi tiếng ở Nhật Bản
Nhật Bản là quốc gia chưa bao giờ khiến người khác không khỏi ngạc nhiên và thích thú và nghệ thuật trình diễn tác phẩm ngay trên cánh đồng lúa là một ví dụ điển hình như vậy.

Ăn chất béo không khiến bạn béo, nhưng ăn đường thì có

tinybook tinybook 3 tuần 2 ngày
Ăn chất béo không khiến bạn béo, nhưng ăn đường thì có
Người ta thường nghĩ rằng những đồ ăn giàu dinh dưỡng như kem bơ hay cá hồi sốt bơ sẽ khiến bạn tăng cân. Tương tự, ăn nhiều đồ ăn có đường như ngũ cốc trộn đường hay bánh donut nhiều carb chắc chắn không hề tốt cho vòng eo của bạn.

4 sai lầm này nhỏ xíu nhưng đã khiến NASA gặp thảm họa, thiệt hại cả tỷ đô

tinybook tinybook 3 tuần 2 ngày
4 sai lầm này nhỏ xíu nhưng đã khiến NASA gặp thảm họa, thiệt hại cả tỷ đô
Mọi sai lầm đều phải trả giá, và cái giá ấy sẽ là cực đắt khi bạn làm việc ở NASA.

Nhiếp ảnh gia chuyên săn được cảnh tượng cơn bão cát khồng lồ trên bầu trời Arizona, Mỹ

tinybook tinybook 3 tuần 3 ngày
Nhiếp ảnh gia chuyên săn được cảnh tượng cơn bão cát khồng lồ trên bầu trời Arizona, Mỹ
Cơn bão cát khổng lồ vắt ngang qua bầu trời bang Arizona, Mỹ giống như một tấm màn phủ tưởng chừng chỉ thấy trong các rạp hát lớn.

Đây là hai thảm kịch thời Trung Cổ đã trực tiếp truyền cảm hứng cho sự kiện Đám Cưới Đỏ trong Game of Thrones

tinybook tinybook 3 tuần 3 ngày
Đây là hai thảm kịch thời Trung Cổ đã trực tiếp truyền cảm hứng cho sự kiện Đám Cưới Đỏ trong Game of Thrones
The North remembers.

Gia đình kỳ lạ tại Indonesia cuồng Doremon tới nỗi dán hình Doremon khắp ngôi nhà

tinybook tinybook 3 tuần 3 ngày
Gia đình kỳ lạ tại Indonesia cuồng Doremon tới nỗi dán hình Doremon khắp ngôi nhà
Hiếm có gia đình nào hâm mộ chú mèo máy Doremon một cách cuồng nhiệt như kiểu một gia đình tại Indonesia.

Dự án Ecobrick: tái chế nhựa làm gạch xây nhà, giải pháp hiệu quả bậc nhất thời điểm hiện tại

tinybook tinybook 3 tuần 4 ngày
Dự án Ecobrick: tái chế nhựa làm gạch xây nhà, giải pháp hiệu quả bậc nhất thời điểm hiện tại
Một cách tuyệt vời để tái chế thứ rác thải nhựa độc hại, khó phân hủy. Dưới hình dạng những viên gạch ecobrick, ta bắt chúng tiếp tục phục vụ cuộc sống cho tới cuối vòng đời của nhựa thì thôi!

Các nhà khoa học chứng minh rằng có thể tách nước thành oxy và hydro trong vũ trụ, vừa tạo được không khí hô hấp vừa có được nhiên liệu chạy tàu

tinybook tinybook 3 tuần 4 ngày
Các nhà khoa học chứng minh rằng có thể tách nước thành oxy và hydro trong vũ trụ, vừa tạo được không khí hô hấp vừa có được nhiên liệu chạy tàu
Đây chính là chìa khóa cho việc du hành không gian trong thời gian dài.

Bí mật tờ văn tự cổ viết trên giấy cói niên đại 2.000 năm tuổi đã được giải đáp: hóa ra là chữ bác sĩ

tinybook tinybook 3 tuần 4 ngày
Bí mật tờ văn tự cổ viết trên giấy cói niên đại 2.000 năm tuổi đã được giải đáp: hóa ra là chữ bác sĩ
Có lẽ đó chính là lý do tại sao 500 năm nay, không một ai giải ra được nó.

Sâu khoảng 200 km dưới lòng đất, các nhà khoa học ước tính có tới hơn 1 triệu tỉ tấn kim cương đang "ngủ yên"

tinybook tinybook 3 tuần 5 ngày
Sâu khoảng 200 km dưới lòng đất, các nhà khoa học ước tính có tới hơn 1 triệu tỉ tấn kim cương đang "ngủ yên"
Sẽ là thảm họa khi đám kim cương này lộ thiên: vừa tạo ra hỗn loạn thị trường mà vừa phải có những cơn động đất mạnh lắm chúng mới xuất hiện.

Về chuyện anh chàng bị máy tính đuổi việc: nếu có AI thông minh hơn, chúng ta đã có thể tránh được việc này

tinybook tinybook 3 tuần 5 ngày
Về chuyện anh chàng bị máy tính đuổi việc: nếu có AI thông minh hơn, chúng ta đã có thể tránh được việc này
Một số người có thể cho rằng trí tuệ nhân tạo đang có quá nhiều quyền lực để ảnh hưởng lên cuộc sống chúng ta nhưng bài viết này, với quan điểm của Adrian Hopgood, lại có một góc nhìn khác.

Đây là cách luyện cho não bộ của bạn thông minh hơn, giống những gì Nikola Tesla đã thực hiện

tinybook tinybook 4 tuần 11 giờ
Đây là cách luyện cho não bộ của bạn thông minh hơn, giống những gì Nikola Tesla đã thực hiện
Bộ não là công cụ duy nhất giúp chúng ta hiểu được thế giới này, khi mà thực tại là một trò chơi xếp hình khổng lồ không có bản hướng dẫn, không có đủ các mảnh ghép và ta chưa đủ khả năng chơi được nó.

Anh chàng này vừa bị máy tính đuổi việc, đến sếp anh là người thật cũng không cứu được

tinybook tinybook 4 tuần 20 giờ
Anh chàng này vừa bị máy tính đuổi việc, đến sếp anh là người thật cũng không cứu được
Sau 3 tuần dài đằng đẵng, quản lý mới biết chuyện gì xảy ra với anh Ibrahim Diallo: đó là lỗi của con người.

Mexico: Cảnh sát thi trượt sát hạch sẽ phải dùng súng cao su và đạn đá thay cho súng thật

tinybook tinybook 4 tuần 1 ngày
Mexico: Cảnh sát thi trượt sát hạch sẽ phải dùng súng cao su và đạn đá thay cho súng thật
Giờ đây, thay vì được vũ trang bằng súng ngắn thì 100 viên cảnh sát thi trượt kỳ sát hạch chỉ được dùng súng cao su và đạn đá mà thôi.

Khám phá Bluetooth 5.0: Ích lợi nhìn thấy rõ trong tương lai cho người dùng Apple

tinybook tinybook 4 tuần 1 ngày
Khám phá Bluetooth 5.0: Ích lợi nhìn thấy rõ trong tương lai cho người dùng Apple
Với Bluetooth 5.0, tầm nhìn của Apple về một thế giới không dây hoàn toàn trở nên hiện thực và rộng mở hơn bao giờ hết.

Đây là hình ảnh X-quang màu 3D đầu tiên trên thế giới, đừng xem nếu bạn yếu tim

tinybook tinybook 4 tuần 1 ngày
Đây là hình ảnh X-quang màu 3D đầu tiên trên thế giới, đừng xem nếu bạn yếu tim
Để phát hiện xương bị nứt gãy, người ta thường sử dụng một hình ảnh trắng đen với độ tương phản cao. Nhưng sau hơn 120 năm tồn tại, hình ảnh X-quang nay đã được nâng lên một tầm cao mới, đủ màu sắc, 3D, cho thấy không chỉ mỗi xương trong cơ thể bạn!

Israel đăng ký bằng sáng chế phát tán mùi hương bằng smartphone, sẽ bán trên toàn cầu

tinybook tinybook 4 tuần 1 ngày
Israel đăng ký bằng sáng chế phát tán mùi hương bằng smartphone, sẽ bán trên toàn cầu
Một bằng sáng chế của Israel mới đăng ký gần đây miêu tả một công nghệ phát tán mùi hương yêu thích bằng smartphone và sẽ bán ra tại Bắc Mỹ và Viễn Đông.

Vào thời kì Đại suy thoái, các công ty sản xuất bột mì đã in họa tiết lên bao vải để các mẹ có thể tái chế thành quần áo đẹp cho trẻ em

tinybook tinybook 1 tháng 52 phút
Vào thời kì Đại suy thoái, các công ty sản xuất bột mì đã in họa tiết lên bao vải để các mẹ có thể tái chế thành quần áo đẹp cho trẻ em
Một hành động cực kì nhân văn, cho thấy tình cảm giữa người và người thể hiện rõ nhất khi đang khó khăn tột cùng.

Ai sẽ thắng trong cuộc đua song mã giữa Samsung và Xiaomi ở Ấn Độ?

tinybook tinybook 3 tuần 22 giờ
Ai sẽ thắng trong cuộc đua song mã giữa Samsung và Xiaomi ở Ấn Độ?
Các ước tính doanh thu mới phản ánh một sự trở lại lớn cho Samsung, công ty từng thống trị thị trường Ấn Độ trong sáu năm nhưng đã bị Xiaomi vượt qua vào cuối năm 2017.

Apple kỷ niệm World Emoji Day bằng 70 emoji mới, chính thức ra mắt vào cuối năm nay

tinybook tinybook 4 tuần 16 giờ
Apple kỷ niệm World Emoji Day bằng 70 emoji mới, chính thức ra mắt vào cuối năm nay
Có cả quả xoài, bánh Trung thu, rau sống, tôm hùm, kangaroo, tóc xoăn, đầu hói...

Lợi nhuận từ App Store của Apple cao gấp đôi Google Play Store, dù số lượt tải chỉ bằng một nửa

tinybook tinybook 4 tuần 21 giờ
Lợi nhuận từ App Store của Apple cao gấp đôi Google Play Store, dù số lượt tải chỉ bằng một nửa
Công ty phân tích ứng dụng Sensor Tower vừa tung ra báo cáo mới nhất cho thấy App Store của Apple một lần nữa đánh bại đối thủ Google Play Store về mặt lợi nhuận.
tinybook Công Nghệ Thông Tin








Chat