Cầu nối Cross-chain tấn công sự kiện hồi cứu: Mười trường hợp liên quan đến gần 2 tỷ đô la Mỹ thiệt hại
Với sự phát triển của công nghệ blockchain, cầu nối Cross-chain trở thành cơ sở hạ tầng quan trọng kết nối các hệ sinh thái công chain khác nhau. Tuy nhiên, do mang theo một lượng lớn vốn và thường xuyên thực hiện các hoạt động cross-chain, cầu nối Cross-chain cũng trở thành mục tiêu tấn công phổ biến của hacker. Bài viết này sẽ điểm lại mười sự kiện tấn công cầu nối Cross-chain lớn trong những năm gần đây, tóm tắt những bài học và gợi ý từ chúng.
ChainSwap: Hai lần bị tấn công, thiệt hại khoảng 880 triệu đô la
Vào tháng 7 năm 2021, ChainSwap đã gặp hai cuộc tấn công của hacker chỉ trong 9 ngày. Cuộc tấn công đầu tiên gây thiệt hại khoảng 800.000 USD, cuộc tấn công thứ hai nghiêm trọng hơn, gây thiệt hại lên đến 8.000.000 USD, ảnh hưởng đến hơn 20 dự án sử dụng ChainSwap để thực hiện cầu nối Cross-chain.
Khảo sát cho thấy, cuộc tấn công xuất phát từ việc giao thức không xác minh chặt chẽ tính hợp lệ của chữ ký, cho phép kẻ tấn công sử dụng chữ ký tự tạo để thực hiện giao dịch. Do tổn thất chính là token quản trị, ChainSwap và nhiều dự án bị ảnh hưởng đã chọn thực hiện snapshot và phát hành lại token để bù đắp cho các nhà đầu tư và nhà cung cấp thanh khoản.
Poly Network: 6.1 triệu đô la Mỹ tài sản bị đánh cắp đã được hoàn lại toàn bộ
Vào tháng 8 năm 2021, giao thức tương tác chuỗi cross Poly Network đã gặp phải cuộc tấn công DeFi lớn nhất vào thời điểm đó, tổng cộng mất khoảng 610 triệu đô la tài sản trên ba mạng lưới Ethereum, Binance Smart Chain và Polygon.
Nguyên nhân chính của cuộc tấn công là do lỗ hổng trong logic quản lý quyền hợp đồng. Kẻ tấn công đã thành công trong việc sửa đổi địa chỉ người xác thực của chuỗi mục tiêu, từ đó có thể thực hiện xác minh chữ ký cho các thao tác rút tài sản. Mặc dù quy mô tấn công rất lớn, nhưng cuối cùng kẻ tấn công đã trả lại toàn bộ số tiền, Poly Network cũng đã gọi họ là "hacker mũ trắng" và đề xuất thuê họ làm cố vấn an ninh chính.
Multichain：600 triệu đô la tài sản bị đánh cắp, gần 50% đã được thu hồi
Vào tháng 1 năm 2022, Multichain đã phát hiện ra một lỗ hổng quan trọng ảnh hưởng đến nhiều loại token. Mặc dù lỗ hổng đã được khắc phục, nhưng vẫn có khoảng 6 triệu đô la WETH và AVAX bị đánh cắp.
Phân tích an ninh cho thấy, cuộc tấn công xuất phát từ việc Multichain gặp vấn đề trong việc xác minh tính hợp pháp của các token đầu vào của người dùng, không xem xét rằng không phải tất cả các token nền tảng đều triển khai hàm permit. Nhóm đã thành công trong việc thu hồi gần 50% số tiền bị đánh cắp và đề xuất một kế hoạch bồi thường, nhưng không còn chịu trách nhiệm về thiệt hại của các người dùng không kịp thời hủy quyền.
QBridge: Thiệt hại 80 triệu USD, chỉ bồi thường 2%
Vào cuối tháng 1 năm 2022, cầu nối Cross-chain QBridge của giao thức cho vay Qubit đã bị tấn công, thiệt hại khoảng 80 triệu USD. Kẻ tấn công đã tận dụng lỗ hổng trong việc xử lý chuyển token trong danh sách trắng của QBridge mà không kiểm tra lại địa chỉ không, thành công tạo ra một lượng lớn token xETH trên BSC từ không khí, và đã sử dụng những token này để vay các tài sản khác từ Qubit.
Hiện tại, tỷ lệ sử dụng Qubit đã giảm mạnh, dữ liệu chính thức cho thấy vẫn còn 98% số tiền bị đánh cắp chưa được bồi thường.
Meter.io: Mất 4,4 triệu USD, cam kết bồi thường bằng lợi nhuận trong tương lai
Vào tháng 2 năm 2022, cầu nối Cross-chain Meter Passport đã gặp phải một cuộc tấn công, gây thiệt hại lên tới 4,4 triệu đô la. Chính thức cho biết, vấn đề xuất phát từ "giả định tin cậy sai lầm" đối với mã nguồn cơ sở, khiến hacker có thể giả mạo chuyển khoản BNB và ETH.
Nhóm Meter ban đầu dự định sử dụng token MTRG để bồi thường tổn thất, nhưng sau đó đã quyết định phát hành token mới PASS để bồi thường thông qua cuộc bỏ phiếu của cộng đồng, và cam kết sẽ sử dụng lợi nhuận trong tương lai để mua lại PASS. Tuy nhiên, cho đến nay vẫn chưa có bất kỳ hoạt động mua lại nào được thực hiện.
Ronin: 6.2 triệu đô la Mỹ bị đánh cắp, đã bồi thường toàn bộ
Vào tháng 3 năm 2022, chuỗi Ronin đứng sau Axie Infinity đã gặp một cuộc tấn công nghiêm trọng, thiệt hại lên tới 620 triệu đô la. Thú vị là, cuộc tấn công xảy ra vào ngày 23 tháng 3, nhưng mãi 6 ngày sau mới được phát hiện.
Các cuộc điều tra cho thấy, cuộc tấn công bắt nguồn từ một cuộc tấn công kỹ thuật xã hội được lên kế hoạch kỹ lưỡng. Kẻ tấn công đã giả mạo việc tuyển dụng của công ty, thành công trong việc giành được sự tin tưởng của nhân viên Sky Mavis, và cuối cùng đã kiểm soát được nhiều nút xác thực của mạng Ronin.
Mặc dù số tiền bị đánh cắp không thể thu hồi, nhưng Sky Mavis đã huy động được 150 triệu USD thông qua một vòng tài trợ mới để bồi thường thiệt hại cho người dùng. Đáng chú ý là, do giá ETH giảm mạnh trong thời gian bồi thường, giá trị bồi thường thực tế thấp hơn nhiều so với giá trị tài sản tại thời điểm bị đánh cắp.
Wormhole: 3.26 triệu đô la Mỹ thiệt hại, nhận được bồi thường kịp thời
Vào đầu tháng 2 năm 2022, giao thức tương tác chuỗi cross Wormhole đã bị tấn công, gây thiệt hại khoảng 120,000 ETH, trị giá 326 triệu USD. Kẻ tấn công đã lợi dụng lỗ hổng xác thực chữ ký trong hợp đồng cốt lõi Wormhole ở đầu Solana, thành công giả mạo thông điệp "người giám hộ" để đúc ra một lượng lớn whETH.
May mắn thay, Jump Crypto nhanh chóng bơm 120,000 ETH vào Wormhole, bù đắp toàn bộ tổn thất, giúp Wormhole nhanh chóng khôi phục hoạt động.
EvoDeFi: Ước tính thiệt hại lên tới hàng chục triệu đô la, chưa được giải quyết
Vào tháng 6 năm 2022, USDT trên DEX ValleySwap trong hệ sinh thái Oasis đã xuất hiện hiện tượng mất giá nghiêm trọng. Nguyên nhân vấn đề là do cầu nối Cross-chain EVODeFi mà nó sử dụng có thanh khoản không đủ trên chuỗi nguồn.
Mặc dù số tiền thiệt hại cụ thể không rõ ràng, nhưng ước tính ở mức hàng triệu đô la. Thật đáng tiếc, các bên liên quan không cung cấp bất kỳ giải pháp hiệu quả nào. Tài khoản mạng xã hội chính thức của ValleySwap và EVODeFi cũng đã ngừng cập nhật kể từ sự kiện, thực chất tương đương với việc các bên dự án từ bỏ.
Horizon: Thiệt hại gần 100 triệu USD, kế hoạch bồi thường vẫn đang được xây dựng.
Vào tháng 6 năm 2022, cầu nối Cross-chain Horizon chính thức của Harmony đã bị tấn công, gây ra thiệt hại khoảng 100 triệu USD. Người sáng lập Harmony thừa nhận rằng cuộc tấn công có thể do việc lộ khóa riêng.
Harmony đã đề xuất bồi thường cho người dùng thông qua việc phát hành thêm token trong vòng 3 năm, nhưng không nhận được sự đồng thuận của cộng đồng. Hiện tại, đội ngũ đang xây dựng lại kế hoạch bồi thường.
Nomad: 1,9 triệu đô la Mỹ bị đánh cắp, một phần tiền có khả năng được thu hồi
Vào tháng 8 năm 2022, cầu nối Cross-chain Nomad đã gặp phải một sự cố an ninh nghiêm trọng, dẫn đến việc mất 190 triệu USD. Phân tích cho thấy, vấn đề xuất phát từ một lỗi khởi tạo trong quá trình nâng cấp hợp đồng, khiến bất kỳ ai cũng có thể dễ dàng rút tiền từ cầu.
Cuộc tấn công liên quan đến 1251 địa chỉ, trong đó địa chỉ ENS chiếm 38% tổng số tiền. Mặc dù đội ngũ dự án chưa đưa ra kế hoạch bồi thường rõ ràng, nhưng đã có một số hacker mũ trắng bày tỏ sẵn sàng hoàn trả lại tiền, mang lại một tia hy vọng cho việc giải quyết vấn đề.
Tóm tắt và bài học
Nhìn lại những sự cố tấn công cầu nối Cross-chain này, chúng ta có thể rút ra những bài học sau:
Cầu nối Cross-chain là lĩnh vực có rủi ro cao, ngay cả những dự án nổi tiếng cũng có thể tồn tại nguy cơ an ninh.
Đội ngũ phát triển mạnh mẽ và nguồn vốn dồi dào là rất quan trọng cho việc xử lý sau sự cố. Những dự án như Poly Network, Ronin và Wormhole, sau khi phải chịu tổn thất lớn, có khả năng nhanh chóng lấy lại tài sản hoặc tiến hành bồi thường toàn bộ.
Cơ chế giám sát thời gian thực và phản ứng nhanh là rất quan trọng. Một số dự án như Hop Protocol và StarGate đã thành công trong việc ngăn chặn các cuộc tấn công tiềm tàng thông qua việc phát hiện và xử lý kịp thời các hoạt động đáng ngờ.
Người dùng nên cẩn thận khi chọn cầu nối Cross-chain, ưu tiên xem xét các dự án được phát triển bởi đội ngũ mạnh mẽ để giảm thiểu rủi ro tài chính.
Các cuộc kiểm tra an ninh định kỳ và chương trình thưởng lỗ hổng rất quan trọng để phát hiện và khắc phục các vấn đề tiềm ẩn.
Đội ngũ phát triển cầu nối Cross-chain nên liên tục học hỏi từ các trường hợp tấn công trong quá khứ, hoàn thiện các biện pháp an toàn, đặc biệt là trong việc nâng cấp hợp đồng và quản lý quyền.
Tóm lại, với sự gia tăng nhu cầu chuỗi cross, độ an toàn của cầu nối Cross-chain sẽ tiếp tục trở thành một chủ đề quan trọng trong ngành công nghiệp blockchain. Các nhà phát triển, người dùng và toàn bộ hệ sinh thái cần nỗ lực chung để xây dựng cơ sở hạ tầng chuỗi cross an toàn và đáng tin cậy hơn.
Xem bản gốc
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
Mười cuộc tấn công cầu nối Cross-chain hàng đầu: Bài học và gợi ý từ thiệt hại gần 2 tỷ đô la
Cầu nối Cross-chain tấn công sự kiện hồi cứu: Mười trường hợp liên quan đến gần 2 tỷ đô la Mỹ thiệt hại
Với sự phát triển của công nghệ blockchain, cầu nối Cross-chain trở thành cơ sở hạ tầng quan trọng kết nối các hệ sinh thái công chain khác nhau. Tuy nhiên, do mang theo một lượng lớn vốn và thường xuyên thực hiện các hoạt động cross-chain, cầu nối Cross-chain cũng trở thành mục tiêu tấn công phổ biến của hacker. Bài viết này sẽ điểm lại mười sự kiện tấn công cầu nối Cross-chain lớn trong những năm gần đây, tóm tắt những bài học và gợi ý từ chúng.
ChainSwap: Hai lần bị tấn công, thiệt hại khoảng 880 triệu đô la
Vào tháng 7 năm 2021, ChainSwap đã gặp hai cuộc tấn công của hacker chỉ trong 9 ngày. Cuộc tấn công đầu tiên gây thiệt hại khoảng 800.000 USD, cuộc tấn công thứ hai nghiêm trọng hơn, gây thiệt hại lên đến 8.000.000 USD, ảnh hưởng đến hơn 20 dự án sử dụng ChainSwap để thực hiện cầu nối Cross-chain.
Khảo sát cho thấy, cuộc tấn công xuất phát từ việc giao thức không xác minh chặt chẽ tính hợp lệ của chữ ký, cho phép kẻ tấn công sử dụng chữ ký tự tạo để thực hiện giao dịch. Do tổn thất chính là token quản trị, ChainSwap và nhiều dự án bị ảnh hưởng đã chọn thực hiện snapshot và phát hành lại token để bù đắp cho các nhà đầu tư và nhà cung cấp thanh khoản.
Poly Network: 6.1 triệu đô la Mỹ tài sản bị đánh cắp đã được hoàn lại toàn bộ
Vào tháng 8 năm 2021, giao thức tương tác chuỗi cross Poly Network đã gặp phải cuộc tấn công DeFi lớn nhất vào thời điểm đó, tổng cộng mất khoảng 610 triệu đô la tài sản trên ba mạng lưới Ethereum, Binance Smart Chain và Polygon.
Nguyên nhân chính của cuộc tấn công là do lỗ hổng trong logic quản lý quyền hợp đồng. Kẻ tấn công đã thành công trong việc sửa đổi địa chỉ người xác thực của chuỗi mục tiêu, từ đó có thể thực hiện xác minh chữ ký cho các thao tác rút tài sản. Mặc dù quy mô tấn công rất lớn, nhưng cuối cùng kẻ tấn công đã trả lại toàn bộ số tiền, Poly Network cũng đã gọi họ là "hacker mũ trắng" và đề xuất thuê họ làm cố vấn an ninh chính.
Multichain：600 triệu đô la tài sản bị đánh cắp, gần 50% đã được thu hồi
Vào tháng 1 năm 2022, Multichain đã phát hiện ra một lỗ hổng quan trọng ảnh hưởng đến nhiều loại token. Mặc dù lỗ hổng đã được khắc phục, nhưng vẫn có khoảng 6 triệu đô la WETH và AVAX bị đánh cắp.
Phân tích an ninh cho thấy, cuộc tấn công xuất phát từ việc Multichain gặp vấn đề trong việc xác minh tính hợp pháp của các token đầu vào của người dùng, không xem xét rằng không phải tất cả các token nền tảng đều triển khai hàm permit. Nhóm đã thành công trong việc thu hồi gần 50% số tiền bị đánh cắp và đề xuất một kế hoạch bồi thường, nhưng không còn chịu trách nhiệm về thiệt hại của các người dùng không kịp thời hủy quyền.
QBridge: Thiệt hại 80 triệu USD, chỉ bồi thường 2%
Vào cuối tháng 1 năm 2022, cầu nối Cross-chain QBridge của giao thức cho vay Qubit đã bị tấn công, thiệt hại khoảng 80 triệu USD. Kẻ tấn công đã tận dụng lỗ hổng trong việc xử lý chuyển token trong danh sách trắng của QBridge mà không kiểm tra lại địa chỉ không, thành công tạo ra một lượng lớn token xETH trên BSC từ không khí, và đã sử dụng những token này để vay các tài sản khác từ Qubit.
Hiện tại, tỷ lệ sử dụng Qubit đã giảm mạnh, dữ liệu chính thức cho thấy vẫn còn 98% số tiền bị đánh cắp chưa được bồi thường.
Meter.io: Mất 4,4 triệu USD, cam kết bồi thường bằng lợi nhuận trong tương lai
Vào tháng 2 năm 2022, cầu nối Cross-chain Meter Passport đã gặp phải một cuộc tấn công, gây thiệt hại lên tới 4,4 triệu đô la. Chính thức cho biết, vấn đề xuất phát từ "giả định tin cậy sai lầm" đối với mã nguồn cơ sở, khiến hacker có thể giả mạo chuyển khoản BNB và ETH.
Nhóm Meter ban đầu dự định sử dụng token MTRG để bồi thường tổn thất, nhưng sau đó đã quyết định phát hành token mới PASS để bồi thường thông qua cuộc bỏ phiếu của cộng đồng, và cam kết sẽ sử dụng lợi nhuận trong tương lai để mua lại PASS. Tuy nhiên, cho đến nay vẫn chưa có bất kỳ hoạt động mua lại nào được thực hiện.
Ronin: 6.2 triệu đô la Mỹ bị đánh cắp, đã bồi thường toàn bộ
Vào tháng 3 năm 2022, chuỗi Ronin đứng sau Axie Infinity đã gặp một cuộc tấn công nghiêm trọng, thiệt hại lên tới 620 triệu đô la. Thú vị là, cuộc tấn công xảy ra vào ngày 23 tháng 3, nhưng mãi 6 ngày sau mới được phát hiện.
Các cuộc điều tra cho thấy, cuộc tấn công bắt nguồn từ một cuộc tấn công kỹ thuật xã hội được lên kế hoạch kỹ lưỡng. Kẻ tấn công đã giả mạo việc tuyển dụng của công ty, thành công trong việc giành được sự tin tưởng của nhân viên Sky Mavis, và cuối cùng đã kiểm soát được nhiều nút xác thực của mạng Ronin.
Mặc dù số tiền bị đánh cắp không thể thu hồi, nhưng Sky Mavis đã huy động được 150 triệu USD thông qua một vòng tài trợ mới để bồi thường thiệt hại cho người dùng. Đáng chú ý là, do giá ETH giảm mạnh trong thời gian bồi thường, giá trị bồi thường thực tế thấp hơn nhiều so với giá trị tài sản tại thời điểm bị đánh cắp.
Wormhole: 3.26 triệu đô la Mỹ thiệt hại, nhận được bồi thường kịp thời
Vào đầu tháng 2 năm 2022, giao thức tương tác chuỗi cross Wormhole đã bị tấn công, gây thiệt hại khoảng 120,000 ETH, trị giá 326 triệu USD. Kẻ tấn công đã lợi dụng lỗ hổng xác thực chữ ký trong hợp đồng cốt lõi Wormhole ở đầu Solana, thành công giả mạo thông điệp "người giám hộ" để đúc ra một lượng lớn whETH.
May mắn thay, Jump Crypto nhanh chóng bơm 120,000 ETH vào Wormhole, bù đắp toàn bộ tổn thất, giúp Wormhole nhanh chóng khôi phục hoạt động.
EvoDeFi: Ước tính thiệt hại lên tới hàng chục triệu đô la, chưa được giải quyết
Vào tháng 6 năm 2022, USDT trên DEX ValleySwap trong hệ sinh thái Oasis đã xuất hiện hiện tượng mất giá nghiêm trọng. Nguyên nhân vấn đề là do cầu nối Cross-chain EVODeFi mà nó sử dụng có thanh khoản không đủ trên chuỗi nguồn.
Mặc dù số tiền thiệt hại cụ thể không rõ ràng, nhưng ước tính ở mức hàng triệu đô la. Thật đáng tiếc, các bên liên quan không cung cấp bất kỳ giải pháp hiệu quả nào. Tài khoản mạng xã hội chính thức của ValleySwap và EVODeFi cũng đã ngừng cập nhật kể từ sự kiện, thực chất tương đương với việc các bên dự án từ bỏ.
Horizon: Thiệt hại gần 100 triệu USD, kế hoạch bồi thường vẫn đang được xây dựng.
Vào tháng 6 năm 2022, cầu nối Cross-chain Horizon chính thức của Harmony đã bị tấn công, gây ra thiệt hại khoảng 100 triệu USD. Người sáng lập Harmony thừa nhận rằng cuộc tấn công có thể do việc lộ khóa riêng.
Harmony đã đề xuất bồi thường cho người dùng thông qua việc phát hành thêm token trong vòng 3 năm, nhưng không nhận được sự đồng thuận của cộng đồng. Hiện tại, đội ngũ đang xây dựng lại kế hoạch bồi thường.
Nomad: 1,9 triệu đô la Mỹ bị đánh cắp, một phần tiền có khả năng được thu hồi
Vào tháng 8 năm 2022, cầu nối Cross-chain Nomad đã gặp phải một sự cố an ninh nghiêm trọng, dẫn đến việc mất 190 triệu USD. Phân tích cho thấy, vấn đề xuất phát từ một lỗi khởi tạo trong quá trình nâng cấp hợp đồng, khiến bất kỳ ai cũng có thể dễ dàng rút tiền từ cầu.
Cuộc tấn công liên quan đến 1251 địa chỉ, trong đó địa chỉ ENS chiếm 38% tổng số tiền. Mặc dù đội ngũ dự án chưa đưa ra kế hoạch bồi thường rõ ràng, nhưng đã có một số hacker mũ trắng bày tỏ sẵn sàng hoàn trả lại tiền, mang lại một tia hy vọng cho việc giải quyết vấn đề.
Tóm tắt và bài học
Nhìn lại những sự cố tấn công cầu nối Cross-chain này, chúng ta có thể rút ra những bài học sau:
Cầu nối Cross-chain là lĩnh vực có rủi ro cao, ngay cả những dự án nổi tiếng cũng có thể tồn tại nguy cơ an ninh.
Đội ngũ phát triển mạnh mẽ và nguồn vốn dồi dào là rất quan trọng cho việc xử lý sau sự cố. Những dự án như Poly Network, Ronin và Wormhole, sau khi phải chịu tổn thất lớn, có khả năng nhanh chóng lấy lại tài sản hoặc tiến hành bồi thường toàn bộ.
Cơ chế giám sát thời gian thực và phản ứng nhanh là rất quan trọng. Một số dự án như Hop Protocol và StarGate đã thành công trong việc ngăn chặn các cuộc tấn công tiềm tàng thông qua việc phát hiện và xử lý kịp thời các hoạt động đáng ngờ.
Người dùng nên cẩn thận khi chọn cầu nối Cross-chain, ưu tiên xem xét các dự án được phát triển bởi đội ngũ mạnh mẽ để giảm thiểu rủi ro tài chính.
Các cuộc kiểm tra an ninh định kỳ và chương trình thưởng lỗ hổng rất quan trọng để phát hiện và khắc phục các vấn đề tiềm ẩn.
Đội ngũ phát triển cầu nối Cross-chain nên liên tục học hỏi từ các trường hợp tấn công trong quá khứ, hoàn thiện các biện pháp an toàn, đặc biệt là trong việc nâng cấp hợp đồng và quản lý quyền.
Tóm lại, với sự gia tăng nhu cầu chuỗi cross, độ an toàn của cầu nối Cross-chain sẽ tiếp tục trở thành một chủ đề quan trọng trong ngành công nghiệp blockchain. Các nhà phát triển, người dùng và toàn bộ hệ sinh thái cần nỗ lực chung để xây dựng cơ sở hạ tầng chuỗi cross an toàn và đáng tin cậy hơn.