Google đã bắt đầu triển khai rộng rãi một tính năng bảo mật Chrome mới gắn phiên đăng nhập với phần cứng thiết bị, thay đổi này đặc biệt quan trọng với bất kỳ ai đang nắm giữ ví crypto.
Điểm chính:
- Google phát hành Device Bound Session Credentials, khóa cookie phiên trình duyệt với chip bảo mật của máy tính.
- Lớp bảo vệ này chặn dạng tấn công phổ biến cho phép kẻ trộm vượt qua đăng nhập hai lớp (2FA) bằng cách đánh cắp cookie.
- Người dùng crypto chịu rủi ro cao hơn, vì malware đánh cắp thông tin thường xuyên nhắm vào ví và phiên đăng nhập sàn.
Chrome hiện đang bảo vệ cookie đăng nhập như thế nào
Các báo cáo tuần này detailed việc phát hành rộng rãi Device Bound Session Credentials, gọi tắt là DBSC, sau nhiều tháng thử nghiệm trên các trình duyệt Chromium.
Công cụ này giờ đã đến với hầu hết người dùng, từ tài khoản Workspace, Enterprise đến tài khoản cá nhân. Nó gắn mỗi lần đăng nhập với một khóa mật mã không bao giờ rời khỏi thiết bị.
Cookie phiên hoạt động giống như vòng tay ở nơi bán vé, cho phép một trang web ghi nhớ lần đăng nhập mà không cần hỏi lại mật khẩu hoặc mã hai lớp ở mỗi lần truy cập.
Kẻ trộm coi trọng các tệp này vì một cookie bị đánh cắp có thể bypass hoàn toàn lớp xác thực thứ hai, và các token này thường được rao bán trên chợ dark-web. DBSC lưu khóa bên trong Windows Trusted Platform Module hoặc Mac Secure Enclave, rồi buộc trình duyệt phải chứng minh đang nắm giữ khóa trước khi bất kỳ cookie nào được làm mới.
Kết quả là cookie trở nên vô dụng nếu bị dùng trên một máy khác.
Also Read: Kalshi Wins CFTC Approval For First U.S. Bitcoin Perpetual Futures
Vì sao trader crypto nên quan tâm
Với người dùng crypto, một phiên bị chiếm quyền có thể đồng nghĩa với tài sản bị rút sạch chứ không chỉ là hộp thư bị hack. Malware đánh cắp thông tin giờ đây thu hoạch cookie trình duyệt, mật khẩu lưu sẵn và tệp ví chỉ trong một lần quét rồi gửi về máy chủ điều khiển từ xa.
Một phân tích found rằng trộm thông tin đăng nhập chiếm khoảng một phần ba số vụ xâm nhập được theo dõi năm ngoái, cho thấy chiến thuật này đã trở nên rất thường xuyên.
Việc mua bán cũng mang tính công nghiệp hơn, khi các nhà nghiên cứu flagging một công cụ đánh cắp dạng thuê bao tên Storm, giá dưới 1.000 USD mỗi tháng và nhắm vào ví thông qua tiện ích mở rộng trình duyệt và ứng dụng desktop.
Các biến thể khác watch những phiên liên quan đến Binance, Coinbase, MetaMask và Trust Wallet, rồi đánh cắp cookie để vào tài khoản mà không cần mật khẩu.
Hành trình dài của DBSC đến tay người dùng
Google lần đầu unveiled DBSC vào năm 2024, sau đó đưa nó qua giai đoạn beta công khai và phát hành rộng rãi trên Chrome 146 trở lên cho Windows, cùng phiên bản 148 trở lên cho Mac.
Công ty đã enabled tính năng này mặc định cho tài khoản Workspace và quản trị viên không thể tắt nó. Với những trader mở tab sàn và tiện ích ví cả ngày, bản cập nhật này âm thầm đóng lại một trong những con đường đơn giản nhất dẫn tới tiền của họ.
Read Next: Dogecoin Reserves Edge Up To 28B As Whale Support Stays Weak