Lỗ hổng tiêm lệnh trong Coinbase AgentKit đã được khắc phục, nhưng tác động thực tế của nó đã bị đánh giá thấp một cách đáng kể

Theo CriptoNoticias, một nhà nghiên cứu bảo mật độc lập đã phát hiện ra lỗ hổng tiêm lệnh trong Coinbase AgentKit, cho phép kẻ tấn công khiến tác nhân AI thực hiện các giao dịch chuyển token trái phép thông qua các lệnh độc hại, mà không cần xác nhận từ người dùng.

Lỗ hổng bảo mật này đã được xác nhận thông qua các giao dịch thực tế trên mạng thử nghiệm Base Sepolia. Ngoài ra, nhà nghiên cứu còn chỉ ra rằng lỗ hổng này cũng phơi bày quy trình phê duyệt vô hạn đối với các token ERC-20, cũng như khả năng truy cập vào các máy chủ từ xa trong cùng bối cảnh thực thi của tác nhân, khiến rủi ro không chỉ giới hạn ở việc cạn kiệt tài sản trong ví; tuy nhiên, báo cáo không nêu chi tiết những hạ tầng cụ thể nào có thể bị ảnh hưởng.

Lỗ hổng này đã được báo cáo lên chương trình thưởng lỗi của Coinbase vào tháng 2 và đã được xác nhận chính thức, cuối cùng được xếp vào mức độ nghiêm trọng trung bình và chủ sở hữu đã nhận được khoản thưởng trị giá 2.000 đô la. Tuy nhiên, nhà nghiên cứu nhấn mạnh rằng tác động thực tế của lỗ hổng này lớn hơn nhiều so với mức đánh giá chính thức.