Giao thức DeFi SIR.trading Chịu Tổn Thất Toàn Bộ 355 Nghìn Đô TVL Trong Vụ Tấn Công Tàn Phá

Các chuyên gia bảo mật tin rằng cuộc tấn công này có thể là một trong những lần khai thác thực tế đầu tiên của tính năng lưu trữ tạm thời mới của Ethereum được giới thiệu trong hard fork Dencun.

Giao thức DeFi dựa trên Ethereum SIR.trading, chính thức được biết đến với tên Synthetics Implemented Right, đã trở thành nạn nhân của một cuộc tấn công mạng, dẫn đến mất hoàn toàn giá trị khóa lại (TVL) của nó, đạt 355.000 đô la tại thời điểm xảy ra sự cố.

Vụ tấn công xảy ra vào ngày 30 tháng 3 và lần đầu tiên được phát hiện bởi các công ty bảo mật blockchain TenArmorAlert và Decurity. Cả hai công ty đã phát hành cảnh báo trên mạng xã hội để thông báo cho người dùng về việc vi phạm.

Người sáng lập giao thức, người sử dụng biệt danh Xatarrer, đã gọi sự cố này là 'tin tức tồi tệ nhất mà một giao thức có thể nhận được.' Mặc dù gặp trở ngại, Xatarrer đã bày tỏ quyết tâm tiếp tục hoạt động.

Khai Thác Thông Minh Hợp Đồng Vault

Decurity mô tả cuộc tấn công mạng này là một 'khai thác thông minh' nhắm đến một hàm callback trong 'hợp đồng Vault dễ bị tổn thương' của giao thức, hợp đồng này sử dụng tính năng lưu trữ tạm thời của Ethereum.

Theo Decurity, kẻ tấn công đã thay thế địa chỉ hồ bơi Uniswap hợp pháp trong hàm callback bằng một địa chỉ mà chúng kiểm soát, cho phép chúng chuyển hướng quỹ trong vault đến địa chỉ của mình. TenArmorAlert lưu ý rằng kẻ tấn công đã rút cạn TVL của giao thức bằng cách gọi lại hàm này nhiều lần.

SupLabsYi, một thành viên của công ty bảo mật blockchain Supremacy, đã giải thích thêm về cuộc tấn công qua một bài đăng trên mạng xã hội. Ông gợi ý rằng sự cố này có thể tiết lộ một lỗ hổng bảo mật trong tính năng lưu trữ tạm thời của Ethereum.

Lưu trữ tạm thời, được giới thiệu vào Ethereum thông qua nâng cấp Dencun vào năm ngoái, cho phép lưu trữ dữ liệu tạm thời, dẫn đến phí gas thấp hơn so với lưu trữ truyền thống.

SupLabsYi chỉ ra rằng với tư cách là một 'tính năng non trẻ,' lưu trữ tạm thời có thể dễ bị tổn thương, và đây có thể là một trong những trường hợp đầu tiên của việc khai thác như vậy.

"Điều này không chỉ là một mối đe dọa nhắm vào một trường hợp duy nhất của uniswapV3SwapCallback," SupLabsYi tuyên bố.

TenArmorSecurity báo cáo rằng các quỹ bị đánh cắp đã được chuyển đến một địa chỉ được hỗ trợ bởi giải pháp riêng tư Ethereum Railgun. Đáp lại, Xatarrer đã tìm kiếm sự trợ giúp từ Railgun.

Tài liệu của SIR.trading trình bày nó như một 'giao thức DeFi mới cho đòn bẩy an toàn hơn,' được thiết kế để giảm thiểu các vấn đề như sự suy giảm biến động và rủi ro thanh lý cho đầu tư dài hạn.

Mặc dù mục tiêu là đòn bẩy giao dịch an toàn hơn, tài liệu của giao thức đã thừa nhận khả năng có lỗi trong các hợp đồng thông minh của nó, ngay cả sau khi đã được kiểm toán. Đặc biệt, nó nhấn mạnh các vault là khu vực dễ bị tổn thương.

Tài liệu cảnh báo, "Các lỗi hoặc khai thác chưa được phát hiện trong các hợp đồng thông minh của SIR có thể dẫn đến mất quỹ. Những điều này có thể xuất phát từ logic phức tạp trong cơ chế vault hoặc tính toán đòn bẩy mà kiểm toán không phát hiện được, làm lộ người dùng trước những thất bại hiếm nhưng nghiêm trọng."

Theo Cointelegraph

Tin khác