Thông tin của HCCVenture Group chỉ nhằm mục đích cung cấp thông tin tham khảo và không được xem là lời khuyên đầu tư. Chúng tôi không chịu trách nhiệm đối với bất kỳ rủi ro hay tổn thất nào phát sinh từ các quyết định đầu tư dựa trên nội dung tại đây.
Lỗ hổng Pennysia làm mất hết các phê duyệt mà người dùng đã cấp quyền
SlowMist đưa tin rằng hợp đồng thanh toán Ethereum của Pennysia đã bị khai thác thông qua lỗ hổng gọi hàm tùy ý từ bên ngoài, cho phép kẻ tấn công chuyển các token mà người dùng đã phê duyệt vào hợp đồng nhưng chưa bao giờ sử dụng.
TIN TỨC
11/14/20267 phút đọc
Tác hại của một cuộc gọi từ bên ngoài tùy ý
Mô hình phê duyệt ERC-20 tách biệt quyền cho phép khỏi việc thực thi. Người dùng phê duyệt một hợp đồng để chi tiêu một lượng token, và hợp đồng sau đó gọi hàm `transferFrom` để thực sự chuyển token đó. Sự phê duyệt này tồn tại cho đến khi bị thu hồi, và các giao diện người dùng thường xuyên yêu cầu phê duyệt không giới hạn để người dùng không bị nhắc nhở trong mỗi lần tương tác tiếp theo.
Lỗ hổng cuộc gọi từ bên ngoài tùy ý có nghĩa là hợp đồng có thể bị tác động để thực hiện cuộc gọi đến một địa chỉ và với dữ liệu cuộc gọi do kẻ tấn công cung cấp. Khi điều đó có thể thực hiện được, kẻ tấn công hướng dẫn hợp đồng gọi token và thực thi `transferFrom` thay mặt cho bất kỳ ai đã phê duyệt. Cuộc gọi bắt nguồn từ hợp đồng, vì vậy từ góc nhìn của token, việc chi tiêu hoàn toàn hợp pháp. Không có gì bị hỏng trong token. Không có gì bị hỏng trong quá trình phê duyệt. Hợp đồng nắm giữ quyền cho phép chỉ đơn giản là bị biến thành một công cụ mà kẻ tấn công sử dụng.
Đây là lý do tại sao lời khuyên là nên thu hồi chứ không phải rút tiền. Tiền nằm trong hợp đồng là một rủi ro. Tiền nằm trong ví của bạn đằng sau một phê duyệt đang hoạt động là rủi ro khác, và hầu hết người dùng không coi rủi ro thứ hai là rủi ro.
Vấn đề của cấu trúc bảo mật
Việc phê duyệt không giới hạn là rủi ro lớn nhất chưa được quản lý trong việc sử dụng DeFi thông thường, và chúng là sản phẩm của một quyết định dựa trên trải nghiệm người dùng chứ không phải là một nhu cầu kỹ thuật. Một người dùng đã tương tác với giao thức một lần vào năm 2023 và không bao giờ quay lại vẫn có quyền truy cập mở, và quyền truy cập đó chỉ an toàn khi hợp đồng nắm giữ nó vẫn còn tồn tại trong một khoảng thời gian không giới hạn.
Giải pháp thực tế không phải là cảnh giác sau một sự cố. Đó là chỉ phê duyệt số tiền cần thiết, điều này tốn thêm một giao dịch mỗi lần, và định kỳ kiểm tra các phê duyệt mở bằng công cụ thu hồi. Hầu như không ai làm cả hai điều đó, đó là lý do tại sao loại hình khai thác này vẫn tiếp tục sinh lợi đối với các giao thức đã lỗi thời từ lâu.
Vai trò đối với cộng đồng tiền điện tử
Thông báo về lỗ hổng rất sơ sài. SlowMist chưa công bố con số thiệt hại, địa chỉ hợp đồng chưa được đề cập trong các bài báo, và bản thân Pennysia cũng chưa được ghi chép đầy đủ. Không có thông tin nào xác định liệu lỗ hổng này được đưa vào trong quá trình nâng cấp, liệu hợp đồng đã được kiểm toán hay chưa, hoặc liệu dự án đã phản hồi hay chưa.
Đối với người đọc, điều đó có nghĩa là hai điều. Bất kỳ ai đã tương tác với Pennysia nên thu hồi chứng chỉ ngay lập tức và xác minh địa chỉ dựa trên thông báo của SlowMist chứ không phải từ bất kỳ liên kết nào trong các bài báo thứ cấp, bởi vì các trang web lừa đảo giả mạo công cụ thu hồi chứng chỉ xuất hiện chỉ vài giờ sau khi có các thông báo như thế này. Và bất kỳ ai coi việc thiếu con số thiệt hại là bằng chứng cho thấy thiệt hại nhỏ là đang hiểu sự im lặng là dữ liệu. Một vụ trộm cắp liên quan đến các chứng chỉ được chấp thuận công khai bị giới hạn bởi số tiền mà ví chấp thuận nắm giữ, và đó không phải là con số mà bất kỳ ai có thể ước tính từ bên ngoài.
Đánh giá và kết luận
Đây là một sự cố nhỏ trong một tháng đầy những sự cố lớn, và giá trị của nó là một lời nhắc nhở hơn là một tin tức. Vụ xâm phạm Binance đã lấy cắp thông tin đăng nhập thông qua một cuộc phỏng vấn xin việc giả mạo. Vụ tấn công bee-js đã lợi dụng một quy trình CI hợp pháp. Các vụ xâm phạm dữ liệu của Keystone và SafePal đã làm rò rỉ dữ liệu khách hàng, hiện đang được sử dụng trong các vụ lừa đảo qua thư vật lý. Không vụ nào trong số này phá vỡ được lớp mã hóa.
Điểm chung là lớp mã hóa giữ được, còn lớp quyền hạn xung quanh nó thì không. Sự chấp thuận là một quyền mà bạn đã cấp và không còn nghĩ đến nữa, điều này khiến nó trở thành loại thứ dễ bị lỗi một cách âm thầm. Thu hồi những gì bạn không còn sử dụng chỉ mất mười phút, và đó là hành động bảo mật mang lại lợi ích cao nhất mà người dùng DeFi thông thường có thể thực hiện.
Tuyên bố miễn trừ trách nhiệm: Nội dung trong bài viết này chỉ nhằm mục đích cung cấp thông tin, nghiên cứu, phân tích dữ liệu và tham khảo về thị trường tài sản mã hóa. Mọi quan điểm, đánh giá, dự báo hoặc nhận định đều phản ánh góc nhìn của tác giả tại thời điểm công bố, không cấu thành lời khuyên đầu tư, lời mời chào mua bán, khuyến nghị giao dịch, quảng cáo, tiếp thị hoặc giới thiệu bất kỳ sản phẩm, dịch vụ tài chính hay tài sản mã hóa nào. Việc đề cập đến các dự án, token, giao thức, sàn giao dịch, ví lưu trữ hoặc các tổ chức cung cấp dịch vụ tài sản mã hóa (CASP) chỉ nhằm mục đích nghiên cứu, phân tích hoặc đưa tin và không được hiểu là sự chứng thực, khuyến nghị hoặc bảo đảm dưới bất kỳ hình thức nào. HCCVenture không thực hiện hoạt động môi giới, quảng cáo, tiếp thị, giới thiệu hoặc kết nối người dùng tại Việt Nam với bất kỳ dịch vụ tài sản mã hóa nào của các CASP. HCCVenture không nhận lưu ký tài sản, không nhận ủy thác đầu tư, không quản lý tài sản hoặc thực hiện giao dịch thay khách hàng. Mọi quyết định đầu tư hoàn toàn do người đọc tự nghiên cứu (DYOR), tự đánh giá và tự chịu trách nhiệm; HCCVenture không chịu trách nhiệm đối với bất kỳ tổn thất hoặc thiệt hại nào phát sinh từ việc sử dụng hoặc dựa trên các thông tin được trình bày trong bài viết.
HCCVENTURE QUANT JSCO
Kết nối với chúng tôi
© 2026 HCCVENTURE . MỌI QUYỀN TÁC GIẢ ĐƯỢC BẢO LƯU
Thông tin liên hệ
Địa chỉ : Tầng 8, Tòa nhà Bạch Đằng Complex, 50 Bạch Đằng, Phường Hải Châu, Thành Phố Đà Nẵng, Việt Nam.
Điện thoại : 1900 1509
Gmail : sp_contact@hccventure.com
Khám phá HCCVenture group
Nội dung phổ cập
Nhận định chiến lược
Miễn trừ trách nhiệm: Thông tin trên website này chỉ nhằm mục đích cung cấp thông tin tham khảo và không được xem là lời khuyên đầu tư. Chúng tôi không chịu trách nhiệm đối với bất kỳ rủi ro hay tổn thất nào phát sinh từ các quyết định đầu tư dựa trên nội dung tại đây.
CÁC NỘI DUNG PHÂN TÍCH VÀ TIN TỨC ĐỀU ĐƯỢC TỔNG HỢP VÀ CUNG CẤP BỞI CÁC CHUYÊN GIA TRONG LĨNH VỰC TÀI CHÍNH SỐ VÀ BLOCKCHAIN THUỘC TỔ CHỨC HCCVENTURE, BAO GỒM QUYỀN SỞ HỮU NỘI DUNG.
CHỊU TRÁCH NHIỆM QUẢN LÝ TOÀN BỘ NỘI DUNG VÀ PHÂN TÍCH : NHÀ SÁNG LẬP HCCVENTURE - TRUONG MINH HUY
Đọc cảnh báo về lừa đảo và email lừa đảo — BÁO CÁO SỰ CỐ VỚI TRANG WEB CỦA CHÚNG TÔI.
CÔNG TY CỔ PHẦN DỮ LIỆU ĐỊNH LƯỢNG HCCVENTURE HOẠT ĐỘNG TRONG LĨNH VỰC PHÂN TÍCH DỮ LIỆU ON-CHAIN TÀI SẢN MÃ HÓA TRÊN BLOCKCHAIN VÀ CUNG CẤP CÁC BÁO CÁO NGHIÊN CỨU THÂM DÒ THỊ TRƯỜNG TÀI SẢN MÃ HÓA. KIỂM TRA THÔNG TIN HỒ SƠ DOANH NGHIỆP (MÃ SỐ DOANH NGHIỆP : 0402354866) TẠI WWW.MASOTHUE.COM