Tóm tắt điều hành

CISO 23pds của SlowMist đã xác định một lỗ hổng bảo mật đáng kể trong hệ thống đăng nhập dựa trên khóa WebAuthn. Lỗ hổng này cho phép kẻ tấn công chiếm quyền điều khiển API WebAuthn thông qua các tiện ích mở rộng trình duyệt độc hại hoặc các lỗ hổng kịch bản chéo trang (XSS). Cuộc tấn công cho phép đánh cắp thông tin đăng nhập của người dùng bằng cách buộc hạ cấp xuống đăng nhập dựa trên mật khẩu hoặc giả mạo quy trình đăng ký khóa. Quan trọng là, phương pháp này bỏ qua nhu cầu truy cập vật lý vào thiết bị hoặc xác thực sinh trắc học, gây ra rủi ro đáng kể cho các nền tảng sử dụng WebAuthn và làm nổi bật những thách thức bảo mật hệ thống trong hệ sinh thái Web3.

Chi tiết sự kiện

Giám đốc an toàn thông tin của SlowMist, 23pds, đã tiết lộ một cuộc tấn công bỏ qua đăng nhập khóa WebAuthn mới lạ. Phương pháp này khai thác API WebAuthn bằng cách tận dụng các tiện ích mở rộng trình duyệt độc hại hoặc các lỗ hổng XSS trên các trang web bị xâm nhập. Cơ chế tấn công bao gồm việc ép buộc hạ cấp xuống các hình thức đăng nhập dựa trên mật khẩu kém an toàn hơn hoặc thao túng quy trình đăng ký khóa để bí mật lấy thông tin đăng nhập của người dùng. Một đặc điểm chính của lỗ hổng này là khả năng hoạt động mà không yêu cầu truy cập vật lý vào thiết bị của nạn nhân hoặc tương tác với các trình xác thực sinh trắc học như Face ID hoặc Touch ID.

Cuộc tấn công "Passkeys Pwned", như đã được trình diễn tại DEF CON, làm rõ thêm rằng đây là một lỗi triển khai bên trong WebAuthn, chứ không phải là một điểm yếu mật mã của bản thân tiêu chuẩn hoặc một lời chỉ trích đối với FIDO Alliance. Kẻ tấn công có thể proxy các lệnh gọi API WebAuthn để giả mạo việc đăng ký passkey và phản hồi xác thực. Điều này cho thấy rằng các mối đe dọa web thông thường, bao gồm các cuộc tấn công CDN, XSS và các tiện ích mở rộng trình duyệt độc hại, có thể tạo điều kiện cho việc truy cập trái phép thông qua passkey, ngay cả khi không trực tiếp xâm phạm điểm cuối, hệ điều hành hoặc trình duyệt của người dùng.

Tác động thị trường

Việc phát hiện ra lỗ hổng WebAuthn này báo hiệu nhu cầu cấp thiết về việc tăng cường cảnh giác bảo mật trên toàn cảnh kỹ thuật số, đặc biệt trong hệ sinh thái Web3. Nếu bị khai thác rộng rãi, "Tấn công hạ cấp thông tin đăng nhập" này có thể dẫn đến đánh cắp thông tin đăng nhập đáng kể và mất mát tài sản lớn, với ước tính cho thấy tác động tiềm tàng đến tài sản kỹ thuật số trị giá hàng trăm triệu đô la. Kịch bản này phản ánh các rủi ro chuỗi cung ứng trước đây, chẳng hạn như lỗ hổng CDN của Ledger Connect Kit, và làm nổi bật sự phổ biến liên tục của các lỗi kiểm soát truy cập trong Web3, vốn chiếm 1,6 tỷ đô la thiệt hại — gần 70% tổng số tiền bị đánh cắp — trong nửa đầu năm 2025.

Khả năng mạo danh danh tính và vi phạm tài khoản trên diện rộng có thể làm giảm nghiêm trọng niềm tin của người dùng vào các phương pháp xác thực hiện đang được coi là an toàn. Các doanh nghiệp và nhà phát triển bị ảnh hưởng đang đối mặt với một yêu cầu cấp bách là xem xét lại các triển khai WebAuthn của họ và triển khai các biện pháp giảm thiểu để bảo vệ tài sản người dùng và duy trì niềm tin.

Bình luận của chuyên gia

23pds của SlowMist lần đầu tiên đưa ra sự chú ý đến lỗ hổng WebAuthn quan trọng này, nhấn mạnh tiềm năng đánh cắp thông tin đăng nhập mà không yêu cầu truy cập vật lý vào thiết bị. Sau đó, SquareX Labs, thông qua bài trình bày "Passkeys Pwned" của họ tại DEF CON, đã trình bày chi tiết bản chất của cuộc tấn công, xác định nó là một lỗi triển khai khai thác các mối đe dọa web thông thường như các cuộc tấn công CDN, XSS và tiện ích mở rộng trình duyệt.

Riêng biệt, ChainGuard đã công bố một cảnh báo liên quan đến "Tấn công hạ cấp thông tin đăng nhập" rộng hơn ảnh hưởng đến các giao thức xác thực Web3, phù hợp với cơ chế của lỗ hổng WebAuthn bằng cách buộc truy cập chỉ bằng mật khẩu kém an toàn hơn và tạo điều kiện cho việc đánh cắp khóa riêng. Để chống lại những mối đe dọa này, các chuyên gia bảo mật khuyến nghị các hành động ngay lập tức, bao gồm tăng cường bảo mật trình duyệt bằng cách kiểm tra và chặn nghiêm ngặt các tập lệnh độc hại, ngăn chặn các trang web hoặc tiện ích mở rộng không nằm trong danh sách trắng truy cập API WebAuthn, và triển khai Xác thực đa yếu tố (MFA) cho tất cả các Nhà cung cấp danh tính sử dụng passkey.

Bối cảnh rộng hơn

WebAuthn, một tiêu chuẩn chung được phát triển bởi W3C và FIDO Alliance, đại diện cho một bước tiến đáng kể hướng tới xác thực không mật khẩu và chống lừa đảo thông qua việc sử dụng mật mã khóa công khai. Mặc dù có thiết kế mạnh mẽ, sự phụ thuộc hiện tại vào các bên đáng tin cậy tập trung đặt ra một thách thức về mặt triết học và thực tiễn đối với các nguyên tắc phi tập trung của Web3.

Sự cố này làm nổi bật vấn đề dai dẳng về các lỗi kiểm soát truy cập trong miền Web3, vốn tiếp tục là một vectơ chính cho các cuộc khai thác. Hơn nữa, bối cảnh rộng lớn hơn về bảo mật Web3 cũng đang phải vật lộn với các lỗ hổng như "các cuộc tấn công tin nhắn mù", nơi người dùng bị lừa ký các giao dịch độc hại mà không hề hay biết; các cuộc tấn công như vậy đã được phát hiện có nguy cơ gây rủi ro cho 75,8% các triển khai xác thực Web3 đã thử nghiệm. Các mối đe dọa đang diễn ra đòi hỏi các khung bảo mật mạnh mẽ, kiểm tra quyền liên tục và thích ứng liên tục với các vectơ tấn công mới nổi, có khả năng đẩy nhanh sự phát triển và áp dụng các giải pháp xác thực hoàn toàn phi tập trung và ngang hàng để tăng cường khả năng phục hồi của hệ sinh thái Web3.