Trò chơi di động có nguy cơ đánh cắp ví tiền điện tử! Unity Engine khẩn trương khắc phục "lỗ hổng 8 năm tuổi"

Công cụ Unity đã phát hiện ra một lỗ hổng chương trình đã tồn tại từ năm 2017, lỗ hổng này có thể dẫn đến rò rỉ ví tiền điện tử. Bởi vì hơn 70% trò chơi di động phổ biến được xây dựng bằng Unity nên điều này đã gây ra sự hoảng loạn cho người chơi.
(Tóm tắt sơ bộ: Trò chơi Steam của một người chơi ung thư sống đã bị hack ví mã hóa và Valve đã khẩn trương gỡ bỏ trò chơi Trojan ẩn)
(Bổ sung nền: OpenAI giúp tạo phim hoạt hình! Musk không thua: xAI và "Star Wars Eve" thảo luận về hợp tác phát triển trò chơi AI)

Sự tồn tại của Unity engine có thể bắt nguồn từ năm 2017. Lỗ hổng "in-process codejection" năm 2016 bị ảnh hưởng về 70% trò chơi di động phổ biến nhất thế giới. Tin tặc có thể truy cập vào các hệ thống Android, Windows, macOS và Linux thông qua các trò chơi bị nhiễm và đánh cắp các từ gợi nhớ hoặc khóa riêng của ví tiền điện tử. Theo Cointelegraph, mặc dù lỗ hổng đã được xác nhận nhưng Google chỉ ra rằng Play Store “không phát hiện” các vụ án hình sự thực tế.

Phạm vi lỗ hổng và đường tấn công

Unity thống trị thị trường trò chơi di động, với hơn 50% trò chơi mới được xây dựng trên đó, khiến các lỗ hổng có thể lan rộng đến một số lượng lớn người chơi. Tin tặc có thể cài mã độc bên trong ứng dụng, sau đó tạo ra màn hình đăng nhập giả để lừa người dùng nhập mật khẩu ví của họ thông qua các cuộc tấn công lớp phủ, chụp đầu vào hoặc chụp ảnh màn hình. Tuy nhiên, nhóm Google APP cho biết:

Dựa trên phát hiện hiện tại của chúng tôi, các ứng dụng độc hại khai thác lỗ hổng này vẫn chưa được tìm thấy trong Cửa hàng Play.

So với Google Play, được kiểm duyệt chính thức, hành vi sideload khi cài đặt APK từ trang web của bên thứ ba có nguy cơ cao hơn. Nó không chỉ thiếu tính năng quét trước mà còn không thể tự động lấy các bản vá do Unity và các nhà phát triển phát hành sau đó.

Unity đã bắt đầu cung cấp các công cụ vá lỗi cho các đối tác và có kế hoạch cập nhật công khai hướng dẫn của mình vào tuần tới. Trước khi bản vá được triển khai đầy đủ, người chơi có thể thực hiện bốn phương pháp để bảo vệ tài sản tiền điện tử của mình:

• Cập nhật trò chơi và hệ thống bất cứ lúc nào
• Tránh tải xuống APK từ các nguồn không xác định
• Kiểm tra và đóng các quyền không cần thiết, chẳng hạn như phủ lên các ứng dụng khác
• Tách biệt các thiết bị lưu trữ lượng lớn tài sản tiền điện tử khỏi điện thoại di động dùng để chơi trò chơi