Tin tặc giả danh nhóm eth.limo để chiếm đoạt tên miền: Bản tổng kết sự cố

Ethereum Name Service (ENS) cổng eth.limo cho biết họ đã trở thành nạn nhân của một vụ chiếm đoạt tên miền vào thứ Sáu, xuất phát từ một cuộc tấn công xã hội nhắm vào EasyDNS, nhà cung cấp dịch vụ tên miền của eth.limo. Theo bản tổng kết sự cố được eth.limo công bố vào thứ Bảy, kẻ tấn công đã giả danh một thành viên trong nhóm để khởi động quy trình khôi phục tài khoản với EasyDNS, từ đó giành quyền truy cập vào tài khoản eth.limo và thay đổi các cài đặt liên quan đến tên miền.

Diễn biến vụ việc

Trong thông tin do eth.limo cung cấp, kẻ tấn công đã thay đổi các bản ghi NS, khiến chúng chỉ về Cloudflare. Khi phát hiện tình trạng chiếm DNS, eth.limo cho biết họ đã nhanh chóng thông báo cho cộng đồng, đồng thời liên hệ với Vitalik Buterin và các bên liên quan. Sau đó, công ty bắt đầu làm việc với EasyDNS để phản hồi sự cố.

Eth.limo được mô tả là một cầu nối Web2, cung cấp quyền truy cập vào khoảng 2 triệu trang web phi tập trung sử dụng tên miền .eth. Việc bị chiếm đoạt dịch vụ có thể tạo điều kiện để kẻ tấn công chuyển hướng người dùng tới các trang web độc hại.

Cảnh báo từ cộng đồng và trách nhiệm từ phía EasyDNS

Vitalik Buterin đã cảnh báo người dùng vào thứ Sáu để tránh truy cập blog của ông cho đến khi sự cố được giải quyết.

Về phía EasyDNS, CEO Mark Jeftovic công khai nhận trách nhiệm trong một bản tổng kết riêng được đăng tải vào thứ Bảy. Ông Jeftovic cho biết: “Chúng tôi đã phạm sai lầm và chúng tôi chịu trách nhiệm.” Ông cũng nhấn mạnh đây có thể là “vụ tấn công xã hội thành công đầu tiên nhắm vào khách hàng EasyDNS trong 28 năm lịch sử”, đồng thời cho rằng trước đó đã từng có nhiều nỗ lực tương tự.

Vai trò của DNSSEC và các biện pháp ngăn chặn

Cả eth.limo và EasyDNS đều cho rằng DNSSEC đã giúp hạn chế thiệt hại thêm. Theo Jeftovic, kẻ tấn công không thể tạo chữ ký mã hóa hợp lệ, vì vậy các resolver DNS sẽ từ chối phản hồi DNS giả mạo. Hệ quả là người dùng có thể gặp thông báo lỗi thay vì bị chuyển hướng đến các trang độc hại.

Jeftovic cho biết DNSSEC đã được bật cho tên miền của họ khi kẻ tấn công cố gắng đảo ngược các máy chủ tên, có thể nhằm phục vụ phishing hoặc tấn công cài mã độc. Trong bối cảnh đó, các resolver DNS sẽ bỏ qua các truy vấn.

Tác động và hướng xử lý tiếp theo

EasyDNS cho biết đã thực hiện các thay đổi sau vụ tấn công. Jeftovic mô tả cuộc tấn công xã hội là “rất tinh vi” và cho biết công ty vẫn đang tiến hành tổng kết sự cố để hiểu cách xảy ra việc rò rỉ, đồng thời bắt đầu triển khai các thay đổi nhằm ngăn chặn tái diễn.

Về phía eth.limo, công ty cho biết họ sẽ di chuyển sang Domainsure. Theo eth.limo, Domainsure có “tư thế bảo mật phù hợp hơn” cho các tên miền doanh nghiệp và fintech có giá trị cao. Đồng thời, eth.limo nêu rõ Domainsure không có cơ chế khôi phục tài khoản, do đó “điều đó không phải là một lựa chọn” trong bối cảnh rủi ro từ các quy trình khôi phục.

Trong lời kết, eth.limo cho biết: “Thay mặt cho mọi người ở đây, tôi xin lỗi đội ngũ eth.limo và cộng đồng Ethereum rộng lớn hơn. ENS luôn có một vị trí đặc biệt trong trái tim chúng tôi như là registrar đầu tiên cho phép liên kết ENS với các tên miền web2 và chúng tôi đã tham gia vào không gian này từ năm 2017.”