SlowMist: Waspadai Serangan Modifikasi Hak Owner Dompet Solana

Pada 3 Desember, tim keamanan SlowMist merilis sebuah kasus peringatan keamanan, di mana seorang pengguna baru-baru ini menjadi korban serangan phishing, hak Owner akun telah dialihkan, upaya untuk membatalkan otorisasi tidak berhasil, dan pengguna tersebut telah kehilangan aset senilai lebih dari 3 juta dolar AS. Selain itu, aset senilai sekitar 2 juta dolar AS tersimpan di protokol DeFi namun tidak dapat dipindahkan (saat ini aset senilai sekitar 2 juta dolar AS tersebut telah berhasil diselamatkan dengan bantuan protokol DeFi terkait). Serangan ini bukanlah “pencurian otorisasi” dalam arti tradisional, melainkan hak istimewa inti (Owner) telah digantikan oleh penyerang, sehingga korban tidak dapat melakukan transfer, membatalkan otorisasi, atau mengoperasikan aset DeFi, dana “terlihat normal” namun tidak lagi dapat dikendalikan. Penyerang menggunakan dua skenario kontra-intuitif untuk berhasil menipu pengguna agar mengklik: 1. Pada umumnya saat menandatangani transaksi, dompet akan mensimulasikan hasil eksekusi transaksi, jika ada perubahan dana maka akan ditampilkan di antarmuka interaksi, namun transaksi yang dibuat dengan hati-hati oleh penyerang tidak menunjukkan perubahan dana; 2. Akun EOA Ethereum tradisional dikendalikan oleh private key, sehingga secara subjektif pengguna tidak menyadari bahwa di Solana terdapat fitur yang memungkinkan perubahan kepemilikan akun; SlowMist mengingatkan, saat melakukan otorisasi tanda tangan, pengguna harus waspada dan memastikan tidak ada operasi berisiko tinggi seperti perubahan Owner yang tersembunyi di dalamnya.