Finney Attack

Finney Attack là gì?

Finney Attack là khi một thợ đào âm thầm chuẩn bị một khối chứa lệnh chi trả quay về cho chính họ, rồi dùng cùng số coin đó để trả cho người bán bằng một giao dịch chưa được xác nhận. Nếu người bán giao hàng trước khi có xác nhận, thợ đào sẽ công bố khối đã chuẩn bị, khiến giao dịch trả tiền bị huỷ. Hãy tưởng tượng như đưa biên lai chuyển tiền đang chờ ở quầy, rồi ngân hàng quay ngược giao dịch đó.

Cách Finney Attack hoạt động

Trình tự như sau. Một thợ đào đặt một giao dịch trả cho chính mình trong một khối, giữ bí mật khối đó, rồi dùng cùng số coin để trả cho người bán chấp nhận giao dịch chưa xác nhận. Sau khi nhận hàng và rời đi, họ công bố khối riêng tư, làm huỷ giao dịch mua.

1. Thiết lập: Kẻ tấn công tham gia vào khai thác, nên họ có thể tìm khối và chọn nội dung bên trong.
2. Giữ bí mật: Họ đào được một khối bí mật gửi coin về cho chính mình. Khả năng tìm được khối đó phụ thuộc vào tốc độ băm của mạng và may mắn.
3. Chi tiêu: Họ trả cho người bán bằng cùng số coin thông qua một giao dịch chưa được xác nhận ngay tại quầy.
4. Chấp nhận: Nếu người bán giao hàng trước khi có xác nhận, kẻ tấn công sẽ phát tán khối riêng tư của họ.
5. Tái tổ chức: Mạng chấp nhận khối riêng tư, xác nhận giao dịch trả cho bản thân, và giao dịch của người bán biến mất. Kẻ tấn công giữ cả coin lẫn hàng hóa.

Nhanh, lén lút, và chỉ hiệu quả khi chấp nhận giao dịch chưa được xác nhận.

Tại sao Finney Attack quan trọng

Vậy bạn nên rút ra điều gì?

• Lợi ích: Biết về nó giúp bạn tránh để kẻ lừa lấy hàng miễn phí và tránh mất tiền.
• Góc nhìn: Đây là một dạng tấn công chi tiêu hai lần nhắm mục tiêu, và nó lợi dụng sự thiếu kiên nhẫn khi thanh toán tại quầy.
• Xuất hiện ở: Bạn sẽ thấy nó được thảo luận trong các chuyến thanh toán tiền mã hóa bán lẻ, giao dịch trực tiếp và những sàn chấp nhận giao dịch chưa xác nhận.

Đặc điểm chính của Finney Attack

Các dấu hiệu nhận diện khá rõ khi bạn biết chúng:

• Chuẩn bị trước: Một khối riêng tư bao gồm giao dịch trả cho chính kẻ tấn công trước khi việc mua hàng diễn ra.
• Thợ đào: Chỉ hoạt động nếu kẻ tấn công có thể khai thác một khối, không phải ai có ví cũng làm được.
• Thời điểm: Cửa sổ thời gian rất ngắn, nằm giữa thời điểm bán hàng và lúc công bố khối riêng tư đó.
• Mục tiêu: Người bán hoặc đối tác chấp nhận giao dịch chưa xác nhận.
• Phạm vi hoạt động: Không cần kiểm soát phần lớn mạng, đây là một mánh nhỏ có tính chọn lọc.

Biến thể

Những chiêu liên quan bạn có thể nghe thấy, kèm một nhầm lẫn phổ biến:

• Race: Kẻ tấn công phát hai giao dịch xung đột và hy vọng giao dịch tới người bán được xác nhận trước, sau đó giao dịch khác được xác nhận khiến giao dịch của người bán mất hiệu lực.
• Vector76: Một pha kết hợp xây khối riêng tư với cuộc đua trên mạng, thường nhắm vào sàn giao dịch hoặc người bán lớn.
• Premine: Không giống với pre mining coin, khái niệm đó chỉ việc phân bổ nguồn cung trước khi ra mắt.
• Công cụ: Một số kẻ tấn công viết script như một exploit, tự động phát hành khối ngay khi giao dịch mua hoàn tất.

Ví dụ

Một cửa hàng điện tử nhỏ chấp nhận thanh toán chưa xác nhận cho một laptop, người mua rời đi, sau đó một khối được đào bí mật xuất hiện và huỷ giao dịch, ví dụ điển hình của Finney Attack.

Thông tin thú vị

Tên gọi lấy từ Hal Finney, một nhân vật sớm trong lịch sử Bitcoin và là người nhận giao dịch đầu tiên từ Satoshi. Ông đã viết về chiêu này để giải thích lý do nên chờ các xác nhận.

Tóm lại

Nếu chỉ nhớ một điều, hãy nhớ: Finney Attack chỉ gây hại khi bạn tin vào một giao dịch chưa xác nhận.