Bốn giao thức mã hóa bị tấn công liên tiếp trong vài giờ, AFX Trade và các bên liên quan ghi nhận tổng thiệt hại hơn 35 triệu USD

Theo dõi bởi công ty an ninh BlockAid, PeckShield và đơn vị phân tích on-chain Lookonchain, trong vòng vài giờ vào ngày 23 tháng 7 đã liên tiếp xảy ra bốn vụ tấn công nhắm vào các giao thức mã hóa, liên quan đến hệ sinh thái Bitcoin và Ethereum, với tổng thiệt hại hơn 35 triệu USD. Tổn thất lớn nhất thuộc về giao thức phái sinh AFX Trade của Arbitrum, khi khóa riêng của cầu xuyên chuỗi bị rò rỉ dẫn đến 24 triệu USD được chuyển ra.

Rò rỉ khóa riêng của cầu xuyên chuỗi AFX Trade

AFX Trade xây dựng trên Arbitrum là trường hợp thiệt hại nặng nhất trong bốn vụ tấn công. Theo phát hiện của công ty an ninh BlockAid, kẻ tấn công đã lấy được khóa riêng của cầu xuyên chuỗi của giao thức này, qua đó chuyển ra khoảng 24 triệu USD tài sản.

Khóa riêng bị đánh cắp đồng nghĩa với việc kẻ tấn công nắm trực tiếp “chìa khóa két”, khiến hầu như không thể ngăn chặn tức thời tiền của người dùng. Rò rỉ khóa riêng của cầu xuyên chuỗi không phải là lần đầu: vào tháng 5 năm nay, Stake DAO từng bị tấn công sau khi nhà triển khai bị lộ khóa riêng, khiến kẻ tấn công trên Arbitrum đúc thêm 5,4 nghìn tỷ vsdCRV, đồng thời phơi bày sự mong manh trong quản lý “khóa” của hạ tầng cầu nối xuyên chuỗi.

Lỗ hổng logic cầu nối của Verus bị khai thác lần thứ hai

Giao thức cầu nối xuyên chuỗi trên Ethereum Verus thiệt hại khoảng 7,54 triệu USD, liên quan đến việc kẻ tấn công khai thác lỗ hổng logic trong luồng “nhập qua cầu”, khiến hệ thống chuyển ra các tài sản không có thế chấp; các token bị đánh cắp gồm ETH, tBTC, USDC, USDT, EURC, MKR và scrvUSD.

Đây là lần thứ hai lỗ hổng cùng loại bị khai thác: vào tháng 5, Verus từng thiệt hại khoảng 11,5 triệu USD do cùng một lỗi sai trong hợp đồng; sau khi dòng tiền được nạp lại vào ngày 8 tháng 7, khoảng hai tuần sau đó hệ thống lại bị rút cạn, cho thấy lỗ hổng ban đầu chưa bao giờ được khắc phục.

Cuộc tấn công diễn ra cùng ngày của B² Network và Balance

Bốn vụ tấn công ngày 23 tháng 7 như sau:

AFX Trade (Arbitrum): thiệt hại khoảng 24 triệu USD; rò rỉ khóa riêng cầu xuyên chuỗi; BlockAid phát hiện

Verus (Ethereum): thiệt hại khoảng 7,54 triệu USD; lỗ hổng logic cầu nối (giống tháng 5); ETH, tBTC, USDC, USDT và các token khác bị đánh cắp

B² Network (Bitcoin lớp 2): thiệt hại khoảng 3,86 triệu USD; bị tấn công vào quyền nâng cấp hợp đồng staking; token B2 bị đổi sang ETH và stablecoin; giao thức đã tạm dừng tính năng staking và cam kết bồi thường toàn bộ; Lookonchain theo dõi

Balance: thiệt hại khoảng 1 triệu USD; kho Bitcoin bị rút cạn; giá stablecoin do giao thức phát hành sụp đổ khoảng 99%

Câu hỏi thường gặp

Các cuộc tấn công giao thức mã hóa ngày 23 tháng 7 liên quan đến những giao thức nào, và thiệt hại từng giao thức là bao nhiêu?

Theo dõi của BlockAid, PeckShield và Lookonchain, bốn vụ tấn công liên quan gồm: AFX Trade (thiệt hại khoảng 24 triệu USD, rò rỉ khóa riêng cầu xuyên chuỗi), Verus (thiệt hại khoảng 7,54 triệu USD, lỗ hổng logic cầu nối), B² Network (thiệt hại khoảng 3,86 triệu USD, bị tấn công vào quyền nâng cấp hợp đồng) và Balance (thiệt hại khoảng 1 triệu USD, kho Bitcoin bị rút cạn); tổng thiệt hại hơn 35 triệu USD.

Vì sao Verus bị khai thác cùng một lỗ hổng hai lần?

Verus vào tháng 5 năm nay từng thiệt hại khoảng 11,5 triệu USD do lỗ hổng logic trong luồng nhập qua cầu; sau khi dòng tiền được nạp lại vào ngày 8 tháng 7, lỗ hổng gốc không được khắc phục, dẫn đến khoảng hai tuần sau đó, ngày 23 tháng 7, lại bị tấn công lần nữa, thiệt hại khoảng 7,54 triệu USD.

B² Network cam kết gì đối với người dùng bị ảnh hưởng?

Theo báo cáo, sau khi cuộc tấn công xảy ra, B² Network đã tạm dừng tính năng staking và cam kết bồi thường toàn bộ cho người dùng bị ảnh hưởng; phương án bồi thường cụ thể sẽ theo thông báo chính thức của B² Network.