Cầu nối Cross-chain sự kiện an ninh hồi tưởng: Gần 2 tỷ đô la tài sản bị ảnh hưởng
Trong hệ sinh thái blockchain có nhiều chuỗi công khai, nhưng hầu hết các chuỗi đều thiếu tài sản chính thống. Để thu hút những tài sản này, nhiều dự án buộc phải dựa vào cầu nối Cross-chain để chuyển tài sản từ các chuỗi công khai chính như Ethereum. Tuy nhiên, gần đây, các sự cố an ninh trong lĩnh vực DeFi xảy ra thường xuyên, cầu nối Cross-chain trở thành mục tiêu tấn công hấp dẫn cho hacker do có dòng tiền lớn và thao tác thường xuyên. Bài viết này sẽ điểm lại 10 sự kiện tấn công cầu nối Cross-chain nghiêm trọng đã xảy ra trong quá khứ, tổng kết bài học, nhằm nhắc nhở đội ngũ phát triển và người dùng nâng cao cảnh giác.
Đáng chú ý là, những dự án cầu nối Cross-chain có sức mạnh lớn và nền tảng tốt thường có khả năng thu hồi tài sản hoặc bồi thường sau khi gặp sự cố an ninh. Do đó, người dùng khi chọn cầu nối Cross-chain nên ưu tiên xem xét các dự án có thực lực có thể sẽ an toàn hơn.
1. ChainSwap: 8 triệu USD thiệt hại, phát hành lại token
Vào tháng 7 năm 2021, ChainSwap đã bị tấn công bởi hacker hai lần chỉ trong 9 ngày. Lần đầu gây ra thiệt hại khoảng 800.000 đô la, lần thứ hai thiệt hại lên tới 8 triệu đô la, ảnh hưởng đến hơn 20 dự án sử dụng ChainSwap để thực hiện cầu nối Cross-chain.
Nguyên nhân của sự cố là do giao thức không thể xác minh tính hợp lệ của chữ ký một cách nghiêm ngặt, cho phép kẻ tấn công sử dụng chữ ký tự tạo của mình để ký các giao dịch. Do tổn thất chủ yếu liên quan đến token quản trị của dự án, nhiều dự án bao gồm cả ChainSwap đã chọn thực hiện chụp nhanh và phát hành token mới để bồi thường cho các nhà nắm giữ token và nhà cung cấp thanh khoản.
2. Poly Network: 6,1 triệu USD bị đánh cắp, cuối cùng đã được hoàn trả toàn bộ
Vào ngày 10 tháng 8 năm 2021, giao thức tương tác chuỗi cross Poly Network đã bị tấn công bởi hacker, gây thiệt hại khoảng 610 triệu đô la tài sản trên ba mạng Ethereum, Binance Smart Chain và Polygon.
Kẻ tấn công đã lợi dụng lỗ hổng trong logic quản lý quyền hợp đồng của Poly Network, thành công sửa đổi địa chỉ xác thực trên chuỗi mục tiêu, từ đó kiểm soát các thao tác chuyển giao tài sản. Mặc dù phương pháp tấn công rất tinh vi, nhưng hacker cuối cùng vẫn hoàn trả toàn bộ số tiền. Poly Network sau đó gọi họ là "hacker mũ trắng" và đề xuất thuê họ làm cố vấn an ninh trưởng của công ty.
3. Multichain：600万美元受影响，已部分赔付
Vào tháng 1 năm 2022, Multichain đã phát hiện một lỗ hổng quan trọng ảnh hưởng đến nhiều loại token. Mặc dù lỗ hổng đã được sửa chữa, nhưng vẫn có một số người dùng bị thiệt hại do không kịp thời thu hồi quyền hạn. Tổng cộng khoảng 6,04 triệu đô la WETH và AVAX đã bị đánh cắp.
Nguyên nhân sự cố là do Multichain có khuyết điểm trong việc xác minh tính hợp lệ của Token do người dùng gửi, không xem xét rằng không phải tất cả các đồng tiền underlying đều thực hiện chức năng permit. Nhóm đã thu hồi gần 50% số tiền bị đánh cắp và đã đề xuất một kế hoạch bồi thường, nhưng chỉ giới hạn cho những người dùng đã hủy quyền hợp đồng trước ngày chỉ định.
4. QBridge: 80 triệu USD thiệt hại, chỉ bồi thường 2%
Cuối tháng 1 năm 2022, cầu nối Cross-chain QBridge của giao thức cho vay Qubit đã bị tấn công, gây thiệt hại khoảng 80 triệu USD.
Kẻ tấn công đã lợi dụng lỗ hổng trong QBridge khi xử lý chuyển khoản token trong danh sách trắng mà không kiểm tra lại xem có phải là địa chỉ không hay không, đã tạo ra một lượng lớn token xETH trên BSC, và dùng nó làm tài sản thế chấp để vay các token khác từ Qubit, dẫn đến việc tài sản thế chấp của Qubit bị cạn kiệt.
Hiện tại, tỷ lệ sử dụng Qubit gần như bằng không, dữ liệu chính thức cho thấy 98% số tiền bị đánh cắp vẫn chưa được bồi thường.
5. Meter.io: Thiệt hại 4,4 triệu USD, cam kết bồi thường bằng lợi nhuận tương lai
Vào tháng 2 năm 2022, cầu nối Cross-chain Meter Passport đã bị hacker lợi dụng do "giả định niềm tin sai lầm", gây thiệt hại 4,4 triệu USD. Kẻ tấn công đã thực hiện tấn công bằng cách giả mạo giao dịch BNB và ETH.
Nhóm Meter ban đầu dự định sử dụng mã thông báo MTRG để bồi thường tổn thất của người dùng, nhưng sau đó quyết định phát hành mã thông báo PASS mới để bồi thường, và cam kết sử dụng lợi nhuận trong tương lai để mua lại các mã thông báo này. Tuy nhiên, tính đến hiện tại vẫn chưa có bất kỳ hoạt động mua lại nào.
6. Ronin：6.2 triệu USD bị đánh cắp, đã hoàn trả toàn bộ
Vào tháng 3 năm 2022, chuỗi Ronin đứng sau trò chơi blockchain Axie Infinity đã bị tấn công nghiêm trọng, mất khoảng 620 triệu USD. Cuộc tấn công này thực tế diễn ra vào ngày 23 tháng 3, nhưng phải đến 6 ngày sau mới được phát hiện.
Kẻ tấn công đã sử dụng kỹ thuật kỹ thuật xã hội, giả mạo thành công một công ty tuyển dụng để tiếp cận nhân viên của Sky Mavis, cuối cùng đã thâm nhập thành công vào mạng Ronin và kiểm soát nhiều nút xác thực. Mặc dù số tiền bị đánh cắp không thể thu hồi, nhưng Sky Mavis đã huy động được 150 triệu đô la thông qua một vòng gọi vốn mới để bồi thường cho người dùng.
7. Wormhole：3.26 triệu đô la Mỹ thiệt hại, đã thanh toán đầy đủ
Đầu tháng 2 năm 2022, giao thức tương tác chuỗi cross Wormhole đã bị tấn công bởi hacker, thiệt hại khoảng 120.000 ETH, trị giá 3,26 tỷ USD.
Nguyên nhân tấn công là do mã xác thực chữ ký trong hợp đồng cốt lõi Wormhole của Solana có lỗi, cho phép kẻ tấn công giả mạo thông điệp giám hộ để đúc whETH. Sau sự cố, Jump Crypto nhanh chóng bơm 120.000 ETH vào Wormhole, bù đắp toàn bộ thiệt hại, giúp Wormhole khôi phục hoạt động.
8. EvoDeFi: Ước tính tổn thất lên tới hàng triệu đô la, chưa được xử lý
Vào tháng 6 năm 2022, USDT đã xuất hiện hiện tượng mất neo nghiêm trọng trên DEX ValleySwap trong hệ sinh thái Oasis. Mặc dù số tiền tổn thất cụ thể không rõ ràng, nhưng ước tính trong mức hàng triệu đô la.
Nguồn gốc của vấn đề nằm ở việc cầu nối Cross-chain EVODeFi mà ValleySwap sử dụng thiếu tính thanh khoản trên chuỗi nguồn. EVODeFi tuyên bố rằng sự hoảng loạn là do FUD gây ra, nhưng lời giải thích này không thuyết phục. Oasis chính thức nhấn mạnh rằng họ không có liên quan đến ValleySwap và EvoDeFi, và chỉ ra rằng EvoDeFi là một dự án có rủi ro cao, chưa được kiểm toán và không mã nguồn mở.
Tính đến thời điểm hiện tại, người dùng vẫn chưa nhận được bất kỳ giải pháp nào cho tổn thất, các bên liên quan dường như đã ngừng mọi liên lạc thêm.
9. Horizon: Thiệt hại gần 100 triệu USD, kế hoạch bồi thường vẫn đang được xây dựng.
Vào ngày 24 tháng 6 năm 2022, cầu nối Cross-chain Horizon chính thức của Harmony đã bị tấn công, gây thiệt hại khoảng 100 triệu đô la.
Người sáng lập Harmony, Stephen Tse, thừa nhận rằng cuộc tấn công có thể do "rò rỉ khóa riêng" gây ra. Số tiền bị đánh cắp liên quan đến nhiều mạng lưới và nhiều loại tiền điện tử. Sau sự kiện, Horizon đã tăng ngưỡng ký nhiều chữ ký, nhưng biện pháp này không thể khôi phục những tổn thất đã xảy ra.
Harmony từng đề xuất thông qua việc phát hành thêm token ONE để dần dần bồi thường tổn thất cho người dùng trong vòng 3 năm, nhưng kế hoạch này không nhận được sự đồng thuận của cộng đồng. Hiện tại, đội ngũ đang xây dựng lại kế hoạch bồi thường.
10. Nomad: 1.9 triệu USD bị ảnh hưởng, đang xử lý
Vào đầu tháng 8 năm 2022, cầu nối Cross-chain Nomad đã gặp phải một sự cố an ninh nghiêm trọng, dẫn đến việc 190 triệu USD thanh khoản nhanh chóng biến mất. Sự kiện này cũng gián tiếp ảnh hưởng đến một giao thức tương tác Layer2 khác là Connext, gây ra khoản tổn thất khoảng 3,34 triệu USD.
Theo phân tích của các chuyên gia, sự cố này xuất phát từ việc Nomad khởi tạo gốc tin cậy là 0x00 trong một lần nâng cấp hợp đồng, điều này đã cho phép bất kỳ ai cũng có thể thay thế địa chỉ bằng giao dịch hợp lệ và rút tiền.
Cuộc tấn công liên quan đến 1251 địa chỉ ETH, trong đó địa chỉ ENS chiếm 38% tổng số tiền. Hiện tại, bên dự án vẫn chưa đưa ra kế hoạch bồi thường rõ ràng, nhưng một số hacker mũ trắng đã bày tỏ sẵn sàng hoàn trả lại tiền.
Kết luận
Sự cố an toàn cầu nối Cross-chain xảy ra thường xuyên nên cần được ngành công nghiệp chú ý cao độ. Ngay cả những cầu nối có thanh khoản đứng trong top ba như Multichain, Portal (Wormhole) và Poly Network cũng đã từng gặp phải vấn đề an toàn, điều này cho thấy lĩnh vực cầu nối Cross-chain vẫn tồn tại rủi ro cao, bất kỳ dự án nào cũng có khả năng xảy ra lỗ hổng an toàn một lần nữa.
Từ những trường hợp trong quá khứ, những dự án cầu nối Cross-chain có nền tảng vững mạnh và nguồn vốn dồi dào thường có khả năng thu hồi tài sản hoặc bồi thường cho người dùng hiệu quả hơn sau khi gặp sự cố an ninh. Ví dụ, Poly Network, Ronin Network và Wormhole đều có thể tìm lại được tiền hoặc bồi thường toàn bộ sau khi xảy ra sự kiện mất trộm số tiền lớn.
Ngoài ra, khả năng giám sát thời gian thực và phản ứng nhanh chóng của đội ngũ cũng rất quan trọng. Các dự án như Hop Protocol và StarGate có thể nhanh chóng hành động sau khi nhận được báo cáo về hoạt động đáng ngờ, hiệu quả ngăn chặn các cuộc tấn công tiềm tàng.
Xem bản gốc
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
cầu nối Cross-chain Hacker tấn công mất gần 20 tỷ đô la Mỹ Rủi ro an ninh vẫn cao
Cầu nối Cross-chain sự kiện an ninh hồi tưởng: Gần 2 tỷ đô la tài sản bị ảnh hưởng
Trong hệ sinh thái blockchain có nhiều chuỗi công khai, nhưng hầu hết các chuỗi đều thiếu tài sản chính thống. Để thu hút những tài sản này, nhiều dự án buộc phải dựa vào cầu nối Cross-chain để chuyển tài sản từ các chuỗi công khai chính như Ethereum. Tuy nhiên, gần đây, các sự cố an ninh trong lĩnh vực DeFi xảy ra thường xuyên, cầu nối Cross-chain trở thành mục tiêu tấn công hấp dẫn cho hacker do có dòng tiền lớn và thao tác thường xuyên. Bài viết này sẽ điểm lại 10 sự kiện tấn công cầu nối Cross-chain nghiêm trọng đã xảy ra trong quá khứ, tổng kết bài học, nhằm nhắc nhở đội ngũ phát triển và người dùng nâng cao cảnh giác.
Đáng chú ý là, những dự án cầu nối Cross-chain có sức mạnh lớn và nền tảng tốt thường có khả năng thu hồi tài sản hoặc bồi thường sau khi gặp sự cố an ninh. Do đó, người dùng khi chọn cầu nối Cross-chain nên ưu tiên xem xét các dự án có thực lực có thể sẽ an toàn hơn.
1. ChainSwap: 8 triệu USD thiệt hại, phát hành lại token
Vào tháng 7 năm 2021, ChainSwap đã bị tấn công bởi hacker hai lần chỉ trong 9 ngày. Lần đầu gây ra thiệt hại khoảng 800.000 đô la, lần thứ hai thiệt hại lên tới 8 triệu đô la, ảnh hưởng đến hơn 20 dự án sử dụng ChainSwap để thực hiện cầu nối Cross-chain.
Nguyên nhân của sự cố là do giao thức không thể xác minh tính hợp lệ của chữ ký một cách nghiêm ngặt, cho phép kẻ tấn công sử dụng chữ ký tự tạo của mình để ký các giao dịch. Do tổn thất chủ yếu liên quan đến token quản trị của dự án, nhiều dự án bao gồm cả ChainSwap đã chọn thực hiện chụp nhanh và phát hành token mới để bồi thường cho các nhà nắm giữ token và nhà cung cấp thanh khoản.
2. Poly Network: 6,1 triệu USD bị đánh cắp, cuối cùng đã được hoàn trả toàn bộ
Vào ngày 10 tháng 8 năm 2021, giao thức tương tác chuỗi cross Poly Network đã bị tấn công bởi hacker, gây thiệt hại khoảng 610 triệu đô la tài sản trên ba mạng Ethereum, Binance Smart Chain và Polygon.
Kẻ tấn công đã lợi dụng lỗ hổng trong logic quản lý quyền hợp đồng của Poly Network, thành công sửa đổi địa chỉ xác thực trên chuỗi mục tiêu, từ đó kiểm soát các thao tác chuyển giao tài sản. Mặc dù phương pháp tấn công rất tinh vi, nhưng hacker cuối cùng vẫn hoàn trả toàn bộ số tiền. Poly Network sau đó gọi họ là "hacker mũ trắng" và đề xuất thuê họ làm cố vấn an ninh trưởng của công ty.
3. Multichain：600万美元受影响，已部分赔付
Vào tháng 1 năm 2022, Multichain đã phát hiện một lỗ hổng quan trọng ảnh hưởng đến nhiều loại token. Mặc dù lỗ hổng đã được sửa chữa, nhưng vẫn có một số người dùng bị thiệt hại do không kịp thời thu hồi quyền hạn. Tổng cộng khoảng 6,04 triệu đô la WETH và AVAX đã bị đánh cắp.
Nguyên nhân sự cố là do Multichain có khuyết điểm trong việc xác minh tính hợp lệ của Token do người dùng gửi, không xem xét rằng không phải tất cả các đồng tiền underlying đều thực hiện chức năng permit. Nhóm đã thu hồi gần 50% số tiền bị đánh cắp và đã đề xuất một kế hoạch bồi thường, nhưng chỉ giới hạn cho những người dùng đã hủy quyền hợp đồng trước ngày chỉ định.
4. QBridge: 80 triệu USD thiệt hại, chỉ bồi thường 2%
Cuối tháng 1 năm 2022, cầu nối Cross-chain QBridge của giao thức cho vay Qubit đã bị tấn công, gây thiệt hại khoảng 80 triệu USD.
Kẻ tấn công đã lợi dụng lỗ hổng trong QBridge khi xử lý chuyển khoản token trong danh sách trắng mà không kiểm tra lại xem có phải là địa chỉ không hay không, đã tạo ra một lượng lớn token xETH trên BSC, và dùng nó làm tài sản thế chấp để vay các token khác từ Qubit, dẫn đến việc tài sản thế chấp của Qubit bị cạn kiệt.
Hiện tại, tỷ lệ sử dụng Qubit gần như bằng không, dữ liệu chính thức cho thấy 98% số tiền bị đánh cắp vẫn chưa được bồi thường.
5. Meter.io: Thiệt hại 4,4 triệu USD, cam kết bồi thường bằng lợi nhuận tương lai
Vào tháng 2 năm 2022, cầu nối Cross-chain Meter Passport đã bị hacker lợi dụng do "giả định niềm tin sai lầm", gây thiệt hại 4,4 triệu USD. Kẻ tấn công đã thực hiện tấn công bằng cách giả mạo giao dịch BNB và ETH.
Nhóm Meter ban đầu dự định sử dụng mã thông báo MTRG để bồi thường tổn thất của người dùng, nhưng sau đó quyết định phát hành mã thông báo PASS mới để bồi thường, và cam kết sử dụng lợi nhuận trong tương lai để mua lại các mã thông báo này. Tuy nhiên, tính đến hiện tại vẫn chưa có bất kỳ hoạt động mua lại nào.
6. Ronin：6.2 triệu USD bị đánh cắp, đã hoàn trả toàn bộ
Vào tháng 3 năm 2022, chuỗi Ronin đứng sau trò chơi blockchain Axie Infinity đã bị tấn công nghiêm trọng, mất khoảng 620 triệu USD. Cuộc tấn công này thực tế diễn ra vào ngày 23 tháng 3, nhưng phải đến 6 ngày sau mới được phát hiện.
Kẻ tấn công đã sử dụng kỹ thuật kỹ thuật xã hội, giả mạo thành công một công ty tuyển dụng để tiếp cận nhân viên của Sky Mavis, cuối cùng đã thâm nhập thành công vào mạng Ronin và kiểm soát nhiều nút xác thực. Mặc dù số tiền bị đánh cắp không thể thu hồi, nhưng Sky Mavis đã huy động được 150 triệu đô la thông qua một vòng gọi vốn mới để bồi thường cho người dùng.
7. Wormhole：3.26 triệu đô la Mỹ thiệt hại, đã thanh toán đầy đủ
Đầu tháng 2 năm 2022, giao thức tương tác chuỗi cross Wormhole đã bị tấn công bởi hacker, thiệt hại khoảng 120.000 ETH, trị giá 3,26 tỷ USD.
Nguyên nhân tấn công là do mã xác thực chữ ký trong hợp đồng cốt lõi Wormhole của Solana có lỗi, cho phép kẻ tấn công giả mạo thông điệp giám hộ để đúc whETH. Sau sự cố, Jump Crypto nhanh chóng bơm 120.000 ETH vào Wormhole, bù đắp toàn bộ thiệt hại, giúp Wormhole khôi phục hoạt động.
8. EvoDeFi: Ước tính tổn thất lên tới hàng triệu đô la, chưa được xử lý
Vào tháng 6 năm 2022, USDT đã xuất hiện hiện tượng mất neo nghiêm trọng trên DEX ValleySwap trong hệ sinh thái Oasis. Mặc dù số tiền tổn thất cụ thể không rõ ràng, nhưng ước tính trong mức hàng triệu đô la.
Nguồn gốc của vấn đề nằm ở việc cầu nối Cross-chain EVODeFi mà ValleySwap sử dụng thiếu tính thanh khoản trên chuỗi nguồn. EVODeFi tuyên bố rằng sự hoảng loạn là do FUD gây ra, nhưng lời giải thích này không thuyết phục. Oasis chính thức nhấn mạnh rằng họ không có liên quan đến ValleySwap và EvoDeFi, và chỉ ra rằng EvoDeFi là một dự án có rủi ro cao, chưa được kiểm toán và không mã nguồn mở.
Tính đến thời điểm hiện tại, người dùng vẫn chưa nhận được bất kỳ giải pháp nào cho tổn thất, các bên liên quan dường như đã ngừng mọi liên lạc thêm.
9. Horizon: Thiệt hại gần 100 triệu USD, kế hoạch bồi thường vẫn đang được xây dựng.
Vào ngày 24 tháng 6 năm 2022, cầu nối Cross-chain Horizon chính thức của Harmony đã bị tấn công, gây thiệt hại khoảng 100 triệu đô la.
Người sáng lập Harmony, Stephen Tse, thừa nhận rằng cuộc tấn công có thể do "rò rỉ khóa riêng" gây ra. Số tiền bị đánh cắp liên quan đến nhiều mạng lưới và nhiều loại tiền điện tử. Sau sự kiện, Horizon đã tăng ngưỡng ký nhiều chữ ký, nhưng biện pháp này không thể khôi phục những tổn thất đã xảy ra.
Harmony từng đề xuất thông qua việc phát hành thêm token ONE để dần dần bồi thường tổn thất cho người dùng trong vòng 3 năm, nhưng kế hoạch này không nhận được sự đồng thuận của cộng đồng. Hiện tại, đội ngũ đang xây dựng lại kế hoạch bồi thường.
10. Nomad: 1.9 triệu USD bị ảnh hưởng, đang xử lý
Vào đầu tháng 8 năm 2022, cầu nối Cross-chain Nomad đã gặp phải một sự cố an ninh nghiêm trọng, dẫn đến việc 190 triệu USD thanh khoản nhanh chóng biến mất. Sự kiện này cũng gián tiếp ảnh hưởng đến một giao thức tương tác Layer2 khác là Connext, gây ra khoản tổn thất khoảng 3,34 triệu USD.
Theo phân tích của các chuyên gia, sự cố này xuất phát từ việc Nomad khởi tạo gốc tin cậy là 0x00 trong một lần nâng cấp hợp đồng, điều này đã cho phép bất kỳ ai cũng có thể thay thế địa chỉ bằng giao dịch hợp lệ và rút tiền.
Cuộc tấn công liên quan đến 1251 địa chỉ ETH, trong đó địa chỉ ENS chiếm 38% tổng số tiền. Hiện tại, bên dự án vẫn chưa đưa ra kế hoạch bồi thường rõ ràng, nhưng một số hacker mũ trắng đã bày tỏ sẵn sàng hoàn trả lại tiền.
Kết luận
Sự cố an toàn cầu nối Cross-chain xảy ra thường xuyên nên cần được ngành công nghiệp chú ý cao độ. Ngay cả những cầu nối có thanh khoản đứng trong top ba như Multichain, Portal (Wormhole) và Poly Network cũng đã từng gặp phải vấn đề an toàn, điều này cho thấy lĩnh vực cầu nối Cross-chain vẫn tồn tại rủi ro cao, bất kỳ dự án nào cũng có khả năng xảy ra lỗ hổng an toàn một lần nữa.
Từ những trường hợp trong quá khứ, những dự án cầu nối Cross-chain có nền tảng vững mạnh và nguồn vốn dồi dào thường có khả năng thu hồi tài sản hoặc bồi thường cho người dùng hiệu quả hơn sau khi gặp sự cố an ninh. Ví dụ, Poly Network, Ronin Network và Wormhole đều có thể tìm lại được tiền hoặc bồi thường toàn bộ sau khi xảy ra sự kiện mất trộm số tiền lớn.
Ngoài ra, khả năng giám sát thời gian thực và phản ứng nhanh chóng của đội ngũ cũng rất quan trọng. Các dự án như Hop Protocol và StarGate có thể nhanh chóng hành động sau khi nhận được báo cáo về hoạt động đáng ngờ, hiệu quả ngăn chặn các cuộc tấn công tiềm tàng.