Nhiều dự án DeFi đã xảy ra các sự cố bị tấn công nhắm vào hợp đồng thông minh, cầu nối xuyên chuỗi và quản trị phi tập trung vào các ngày 7, 9 và 10 tháng 6 (theo giờ địa phương). Sàn DEX Raydium dựa trên Solana đã mất khoảng 1,3 triệu USD, giao thức cho vay NovaBox trên Ethereum mất 56,7 ETH, cầu Syscoin ghi nhận việc 5 tỷ token SYS bị đúc trái phép, nền tảng MILC mất 161.000 USD và AragonDAO mất 944,2 wETH trị giá 1,5 triệu USD. Các phương thức tấn công đã phát triển vượt khỏi các lỗ hổng mã đơn giản để bao gồm đánh cắp đặc quyền quản trị và chiếm quyền quản trị. Các công ty an ninh blockchain cho biết các vụ việc nêu bật rủi ro bảo mật mang tính cấu trúc trong toàn bộ hệ sinh thái DeFi.
Raydium DEX mất 1,3 triệu USD vì tấn công vào Legacy Pool
Vào ngày 10 tháng 6 (theo giờ địa phương), sàn giao dịch phi tập trung Raydium dựa trên Solana đã hứng chịu một cuộc tấn công nhắm vào các pool legacy của nhà tạo lập thị trường tự động (AMM), dẫn đến khoảng 1,3 triệu USD tiền bị đánh cắp. Dự án cho biết thiệt hại chỉ giới hạn ở một số pool legacy và công bố kế hoạch bù đắp tổn thất của người dùng bằng nguồn quỹ dự án.
NovaBox Protocol hứng chịu khai thác qua flash loan
Giao thức cho vay NovaBox dựa trên Ethereum bị tấn công thông qua khai thác flash loan. Theo công ty an ninh blockchain F12, kẻ tấn công đã đánh cắp khoảng 56,7 ETH bằng cách khai thác các lỗ hổng trong cấu trúc gửi tiền và phân phối phần thưởng. Kẻ tấn công sử dụng lượng vốn lớn được bảo đảm thông qua flash loan để nhận nhiều cổ tức hơn so với quyền thực nhận, làm cạn kiệt phần lớn tài sản trong bể thanh khoản. F12 cho biết trong một bài đăng trên mạng xã hội rằng cuộc tấn công có “không có reentrancy, không có overflow, chỉ là lỗi thiết kế kinh tế thuần” và “99,86% số dư của pool biến mất trong một giao dịch”.
Sự cố cầu Syscoin dẫn đến việc đúc 5 tỷ SYS
Dự án blockchain lớp 1 Syscoin đã gặp một vụ khai thác lỗ hổng ở cầu nối, dẫn đến việc đúc trái phép 5 tỷ token SYS vào ngày 7 tháng 6. Dự án cho biết họ phát hiện sớm các giao dịch bất thường và chuyển phần lớn lượng cung sang một địa chỉ khôi phục. Syscoin thông báo đã tạm dừng hoạt động cầu nối và hiện đang triển khai các bản vá bảo mật. Dự án cũng đăng trên mạng xã hội rằng “cầu Syscoin hiện đang tạm dừng trong khi đội ngũ điều tra và hoàn thiện bản sửa lỗi”.
MILC Platform bị lộ khóa quản trị dẫn đến $161K Loss
Dự án tài sản số tập trung truyền thông MILC Media Metaverse Platform đã gặp sự cố cầu nối do đánh cắp đặc quyền quản trị. Theo F12, kẻ tấn công đã khai thác một ví quản trị cầu nối có sẵn để cấp quyền quản trị cho tài khoản người sở hữu bên ngoài (EOA) của chúng, sau đó rút MLT (Media License Token) từ hợp đồng cầu nối và chuyển quyền quản trị sang ví của chúng. F12 xác định nguyên nhân gốc là “bị lộ khóa riêng quản trị, không phải lỗi của hợp đồng” và ước tính thiệt hại khoảng 161.000 USD.
AragonDAO khai thác quản trị làm thất thoát 1,5 triệu USD
Một cuộc tấn công khai thác các lỗ hổng trong cấu hình quản trị của AragonDAO đã dẫn đến việc đánh cắp 944,2 wETH (Ethereum được bọc) trị giá 1,5 triệu USD (khoảng 2,29 tỷ KRW). Theo công ty an ninh blockchain BlockSec Phalcon, kẻ tấn công nắm giữ hơn 50% token quản trị của TOP (Token of Power) và khai thác các điểm yếu mang tính cấu trúc để đúc trái phép 10 tỷ token TOP, sau đó đổi 1 tỷ TOP lấy wETH. BlockSec Phalcon cho biết kẻ tấn công “đã giành được hơn 50% quyền biểu quyết của TOP, do token có giá trị thị trường thấp, và sử dụng nó để thông qua và thực thi một đề xuất quản trị” vào ngày 9 tháng 6.
Chainalysis đưa cảnh báo về các công cụ tấn công được kích hoạt bởi AI
Chainalysis đã phát hành một báo cáo vào ngày 9 tháng 6 (theo giờ địa phương) cho biết “việc các công cụ phân tích dựa trên trí tuệ nhân tạo (AI) được lan rộng đã làm giảm đáng kể mức độ khó khăn khi tấn công các hợp đồng thông minh chưa được xác thực.” Công ty nhận định rằng “nếu các dự án DeFi không tăng cường công bố mã, các cuộc kiểm toán bảo mật và hệ thống thẩm quyền phi tập trung, thì các sự cố an ninh có thể lặp lại.”
FAQ
Những loại lỗ hổng mà kẻ tấn công đã khai thác trong các vụ hack DeFi gần đây là gì?
Kẻ tấn công đã khai thác các lỗ hổng của legacy AMM pool trong Raydium, các lỗ hổng thiết kế kinh tế của flash loan trong NovaBox, các điểm yếu của hợp đồng cầu nối trong Syscoin, khóa riêng quản trị bị xâm phạm trên nền tảng MILC và sự tập trung token quản trị trong AragonDAO. Các sự cố xảy ra vào các ngày 7, 9 và 10 tháng 6 (theo giờ địa phương) trên nhiều nền tảng blockchain.
Tổng giá trị bị đánh cắp trên tất cả các vụ tấn công DeFi được báo cáo là bao nhiêu?
Các vụ việc được báo cáo đã dẫn đến việc đánh cắp khoảng 1,3 triệu USD từ Raydium, 56,7 ETH từ NovaBox, 161.000 USD từ nền tảng MILC và 1,5 triệu USD từ AragonDAO. Các token SYS bị đúc trái phép 5 tỷ của Syscoin hầu hết đã được thu hồi về một địa chỉ do dự án kiểm soát theo tuyên bố của dự án.
Chainalysis đã khuyến nghị những biện pháp bảo mật nào trong báo cáo ngày 9 tháng 6?
Trong báo cáo ngày 9 tháng 6, Chainalysis cho biết các dự án DeFi nên tăng cường công bố mã, các cuộc kiểm toán bảo mật và hệ thống thẩm quyền phi tập trung. Công ty cũng nêu rằng các công cụ phân tích dựa trên AI đã làm giảm rào cản khi tấn công các hợp đồng thông minh chưa được xác thực.
