SSO Module 4- Tăng cường bảo mật trực tuyến: Tìm hiểu 2FA, những hạn chế và mối nguy từ SIM Swapping

Trong web3, việc đảm bảo các biện pháp bảo mật vững chắc là tối quan trọng.

Một biện pháp như vậy là Xác thực hai yếu tố (2FA), giúp tăng thêm một lớp bảo vệ cho tài khoản và giao dịch của người dùng.

Trong khóa học này, chúng ta sẽ tìm hiểu cách thức hoạt động của 2FA trong web3, xem xét những hạn chế của nó và làm rõ mối đe dọa ngày càng gia tăng của SIM swapping.

Hiểu về 2FA trong Web3

Xác thực hai yếu tố là một cơ chế bảo mật yêu cầu người dùng cung cấp hai yếu tố xác thực khác nhau để truy cập tài khoản.

Mục đích là bảo vệ tối đa số tiền của bạn bằng cách giảm nguy cơ một kẻ trộm mật khẩu đơn giản rút sạch chúng trong nháy mắt.

Các yếu tố xác thực này thuộc ba loại:

1. Điều bạn biết: Bao gồm mật khẩu, mã PIN hoặc câu hỏi bảo mật.
2. Điều bạn có: Một thiết bị vật lý, chẳng hạn như điện thoại thông minh hoặc token phần cứng, tạo ra các mã có thời hạn.
3. Điều bạn là: Dữ liệu sinh trắc học như dấu vân tay hoặc nhận diện khuôn mặt.

Trong lĩnh vực web3, ứng dụng phổ biến nhất của 2FA là kết hợp mật khẩu (điều bạn biết) với mã có thời hạn do ứng dụng trên điện thoại thông minh tạo ra (điều bạn có).

Nguồn: Swoopnow

Mã động này thay đổi vài giây một lần, khiến kẻ tấn công rất khó truy cập trái phép, ngay cả khi đã lấy được mật khẩu.

2FA là thực tiễn tiêu chuẩn trên các Sàn giao dịch tập trung (CEX), một quy trình bắt buộc quan trọng không kém KYC.

Các CEX thường phát triển “authenticator” riêng, như Binance Authenticator cho phép bạn truy cập tài khoản qua mã QR và khóa 16 chữ số.

Nguồn: Binance

Hạn chế của 2FA

Dù hiệu quả, 2FA vẫn có những hạn chế nhất định:

1. Tấn công lừa đảo: Nếu người dùng bị lừa tiết lộ thông tin đăng nhập qua trang web hoặc email giả mạo, 2FA có thể không ngăn chặn hoàn toàn truy cập trái phép.
2. Phụ thuộc vào thiết bị: Việc chỉ dựa vào một thiết bị cho 2FA có thể dẫn đến điểm lỗi duy nhất. Mất thiết bị hoặc gặp sự cố kỹ thuật có thể khiến người dùng không thể truy cập tài khoản.
3. Kỹ thuật xã hội: Kẻ tấn công có kỹ năng có thể thao túng nhân viên chăm sóc khách hàng để chuyển 2FA của người dùng sang thiết bị mới, từ đó có được quyền truy cập trái phép. Mối đe dọa từ việc đổi SIM

Trong không gian web3, việc đổi SIM đã nổi lên như một mối đe dọa đáng kể.

Đổi SIM là việc kẻ xấu thuyết phục nhà mạng di động của người dùng chuyển số điện thoại của họ sang một SIM mới do kẻ tấn công kiểm soát.

Khi đạt được điều này, kẻ tấn công có thể chặn mã 2FA gửi qua SMS.

Nguồn: SimSwapLaw

Hệ quả của việc hoán đổi SIM trong bối cảnh web3 là rất nghiêm trọng.

Nếu kẻ tấn công kiểm soát được số điện thoại của nạn nhân, chúng có thể vượt qua 2FA, từ đó truy cập vào ví crypto, dApp và các tài khoản nhạy cảm khác.

Điều này đã gây ra tổn thất tài chính đáng kể cho nhiều cá nhân.

Năm 2018, nhà đầu tư crypto Michael Terpin trở thành nạn nhân của một vụ tấn công hoán đổi SIM gây choáng váng với thiệt hại 23.8 triệu USD. Vào tháng 10 năm 2021, Coinbase tiết lộ rằng tội phạm mạng đã lấy cắp tiền mã hóa trái phép từ tối thiểu 6.000 người dùng do hệ thống 2FA của họ bị xâm phạm, thông qua sim swapping.

“Khi Web3 ngày càng phổ biến và thu hút nhiều người vào ngành, khả năng xảy ra các cuộc tấn công SIM swapping cũng tăng lên do yêu cầu kỹ thuật tương đối thấp hơn.” CISO của công ty bảo mật blockchain Slowmist gần đây đã nói với CoinTelegraph.

Hàng loạt cuộc tấn công sim swapping trong lĩnh vực tiền mã hóa những tuần qua đã chứng minh những lời đó là đúng.

Kể từ tháng 6 năm 2023, hơn 30+ dự án tiền mã hóa đã bị nhắm mục tiêu bởi các cuộc tấn công SIM swap, được dùng để chiếm quyền kiểm soát tài khoản Twitter và đăng các wallet drainer. Trong một cuộc tấn công duy nhất, ít nhất 765K USD giá trị NFT đã bị đánh cắp, tài khoản Twitter Gutter Cat Gang đã bị hack thông qua việc đánh tráo SIM.

Nguồn: Matt Medev, Đồng sáng lập, CEO & EIC của NFT Now

Giảm thiểu mối đe dọa

Để đối phó với các rủi ro liên quan đến đánh tráo SIM và tăng cường bảo mật trong web3, có thể thực hiện một số bước sau:

1. Ứng dụng xác thực: Sử dụng các ứng dụng 2FA chuyên dụng như Google Authenticator hoặc Authy tạo mã ngoại tuyến, giảm khả năng bị đánh tráo SIM.
2. Nếu bạn không muốn dùng hệ thống xác thực ngoài số điện thoại của mình:

• Ít nhất bạn nên tiết lộ số điện thoại của mình cho càng ít người càng tốt và không bao giờ trên mạng xã hội, kể cả Linkedin. Đồng thời bảo vệ dữ liệu cá nhân như tên, địa chỉ và ngày sinh, những thông tin có thể được dùng để lấy lại số điện thoại của bạn.
• Chiến lược tốt nhất bạn có thể áp dụng là có một sim chỉ dành riêng cho việc xác thực bạn. Số điện thoại tương ứng của sim này không tiết lộ cho ai ngoài bạn.

3. Hardware Tokens: Các thiết bị phần cứng như YubiKey cung cấp phương thức vật lý để tạo mã 2FA và không bị ảnh hưởng bởi SIM swapping.

4. Ví đa chữ ký: Sử dụng ví đa chữ ký bổ sung thêm một lớp bảo mật, yêu cầu nhiều thiết bị hoặc bên cùng phê duyệt giao dịch.

5. Xác thực 2 lớp cho giao dịch: Tại Nefture, chúng tôi đã phát triển hệ thống xác thực 2 lớp cho giao dịch, cảnh báo bạn về mọi giao dịch bạn thực hiện, yêu cầu bạn xác nhận và thông báo cho bạn về (các) rủi ro tiềm ẩn liên quan.

Thông qua các thuật toán tiên tiến giám sát giao dịch và nhận diện rủi ro tiềm ẩn theo thời gian thực, phân tích mô hình giao dịch, dữ liệu blockchain và dữ liệu lịch sử để phát hiện bất thường, hoạt động gian lận và hành vi đáng ngờ, người dùng được**** ****cảnh báo trước về các rủi ro liên quan đến từng giao dịch họ muốn thực hiện và có thể thực hiện các biện pháp phù hợp theo thời gian thực.

Tóm lại, dù xác thực 2 lớp tăng cường đáng kể bảo mật trong bối cảnh web3, những hạn chế của nó và mối đe dọa đang hiện hữu của việc đánh tráo SIM không thể bị bỏ qua.

Để đảm bảo bảo vệ tối đa, người dùng phải áp dụng các thực hành tốt nhất như sử dụng ứng dụng xác thực và token phần cứng.

Khi web3 tiếp tục phát triển, các biện pháp bảo mật của chúng ta cũng phải phát triển để chống lại các mối đe dọa và lỗ hổng mới nổi.

Tóm tắt

Chúc mừng! Bạn đã hoàn thành Mô-đun 4 - Tăng cường bảo mật trong Web3: Khám phá xác thực 2 lớp, những hạn chế của nó và mối nguy từ việc đánh tráo SIM

Hãy cùng ôn lại những gì bạn đã học:

2FA trong Web3: Xác thực hai yếu tố (2FA) là một phương thức bảo mật sử dụng hai yếu tố xác minh khác nhau để truy cập tài khoản.

• Các loại:
• Kiến thức (ví dụ: mật khẩu)
• Sở hữu (ví dụ: điện thoại thông minh tạo mã có thời hạn)
• Đặc điểm sinh trắc học (ví dụ: dấu vân tay).
• Ứng dụng: Trong web3, việc kết hợp mật khẩu với mã động do điện thoại thông minh tạo ra là phổ biến.

Sàn giao dịch tập trung (CEX) & 2FA: CEX sử dụng 2FA rộng rãi. Ví dụ, Binance có “authenticator” riêng dùng mã QR và một khóa.

Hạn chế của 2FA:

• Dễ bị tấn công lừa đảo.
• Phụ thuộc thiết bị: Thiết bị bị mất hoặc hỏng có thể khiến người dùng bị khóa ngoài.
• Kỹ thuật xã hội: Kẻ tấn công có thể vượt qua 2FA bằng các thủ đoạn thao túng.

Đánh tráo SIM:

• Mối đe dọa: Kẻ tấn công lừa nhà mạng di động chuyển số điện thoại của nạn nhân, từ đó chặn mã 2FA gửi qua SMS.
• Tác động: Vượt qua 2FA cho phép truy cập trái phép vào ví, dApp và các tài khoản nhạy cảm.
• Sự cố đáng chú ý: 23,8 triệu USD bị đánh cắp từ nhà đầu tư Michael Terpin vào năm 2018 và một vụ xâm phạm hệ thống 2FA của Coinbase vào năm 2021 ảnh hưởng đến 6.000 người dùng.

Bài viết này được mang đến cho bạn bởi: