Hacker công bố lỗ hổng hack nạp tiền vô hạn trong Steam Wallet được Valve thưởng nóng 7500 đô

Thứ Hai 28/08/2023
GVN360

Steam bỏ 7500 USD thuê nhà nghiên cứu bảo mật vá lỗ hổng của Steam Wallet, ngăn người dùng hack tiền mua game.

Với sự giúp đỡ của một nhà nghiên cứu bảo mật, Valve đã thành công trong việc tìm và khắc phục được lỗ hổng của Steam Wallet cho phép người dùng làm sai lệch (tăng/giảm) mức giá tiền mà họ nạp vào ví Steam (ví dụ nạp 1 đô nhưng trong ví hiện 100 đô). Cách “hack” này được thực hiện bằng việc thay đổi địa chỉ email tài khoản bằng một cái khác mà trong đó có bao gồm cụm “amount100”, tiếp đó là can thiệp vào tin nhắn dùng để gửi cho API công ty thanh toán.

Nhà nghiên cứu bảo mật này có tên là Drbrix. Vào ngày 9 tháng 8 vừa qua, anh ta đã đăng một bài viết về vụ khai thác Steam Wallet cho phép người dùng kiếm tiền không giới hạn lên trang Hackerone để thông báo cho Valve. Sau khi Valve nắm tình hình và vá lỗ hổng, công ty đã trao thưởng cho Drbrix vì công sức phát hiện ra vụ khai thác này với mức tiền thường là 7500 USD.

Dành cho những bạn nào chưa biết thì Hackerone là một trang web được tạo ra để kết nối các công ty (ví dụ như Valve) với những người dùng thích hack, mày mò trang web, ứng dụng và các ứng dụng khác. Những người này có thể phát hiện và gửi các thông tin về vụ khai thác, cũng như là các cuộc tấn công để thông báo cho các công ty, đổi lại thì các công ty này sẽ trao tiền thưởng cho họ.

Tóm tắt:

Một nhà nghiên cứu bảo mật đã thông báo cho Valve biết về lỗ hổng của Steam Wallet cho phép người dùng tăng mức tiền nạp vào ví Steam
Ví dụ, bạn nạp 1 đô thì trong ví Steam sẽ hiện 100 đô
Cách “hack” này được thực hiện bằng cách thay đổi địa chỉ email tài khoản bằng một cái khác mà trong đó có bao gồm cụm “amount100”
Tiếp đó là can thiệp vào tin nhắn dùng để gửi cho API công ty thanh toán
Sau khi phát hiện và vá lỗi thành công, Valve đã trao thưởng cho nhà nghiên cứu bảo mật này 7500 USD

Mời các bạn tham khảo thêm một số thông tin liên quan tại GEARVN như:

Nguồn: pcgamer