Lỗ hổng bảo mật đã rút 7.8 triệu USD rsETH từ ví an toàn của người dùng thông qua công cụ thực thi chiến lược bị xâm nhập.
Các công ty bảo mật chuỗi khối phong tỏa, peckshieldvà KhốiSec Đã xác nhận một vụ tấn công mạng làm rút khoảng 7.8 triệu đô la Mỹ giá trị rsETH, tương đương khoảng 2,900 token, từ ví Gnosis Safe trên Ethereum. Vụ việc bắt đầu lúc 04:38 UTC với một giao dịch chuyển phần lớn số tiền, tiếp theo là một số giao dịch nhỏ hơn trong giờ tiếp theo với tổng số tiền rút thêm khoảng 160,000 đô la Mỹ, theo báo cáo của các công ty.
Nguyên nhân gốc rễ là do lỗi kiểm tra ủy quyền trong hợp đồng thực thi, được các nhà phân tích xác định là địa chỉ 0x4f0055926c839D1d960a82CBF84E2eE933958ebC.
Safe mục tiêu, thuộc sở hữu của một người nắm giữ lượng lớn rsETH đòn bẩy, dựa vào một mô-đun thực thi chiến lược được đưa vào danh sách trắng, mô-đun này để lộ một điểm truy cập công thức. Điểm truy cập này chuyển tiếp dữ liệu gọi do người gọi cung cấp đầy đủ vào hàm execTransactionFromModuleReturnData của Safe bằng cách sử dụng operation=1 (DELEGATECALL) mà không kiểm soát người gọi bên ngoài. Việc thiết lập tham số hợp đồng được cung cấp thành địa chỉ của chính trình thực thi đã vượt qua quá trình xác thực, có nghĩa là bất kỳ ai có thể truy cập điểm truy cập đều có thể thực thi mã tùy ý trong ngữ cảnh của Safe — về cơ bản là giành được toàn quyền kiểm soát tài sản của nó.
Kẻ tấn công đã sử dụng một cuộc gọi đa luồng của người giữ lệnh công khai để định tuyến mô-đun Uni V4 LP Safe được ủy quyền vào một nhóm Uniswap V4 do kẻ tấn công tạo ra, thực thi thông qua Permit2 và PositionManager. Kẻ tấn công đã triển khai một token vô giá trị có tên là “Permissionless Attacker Token” (PAT) và cung cấp khoảng 2,900 aEthrsETH làm thanh khoản cho nó. Một hook tùy chỉnh trong nhóm đã giải mã aEthrsETH thành rsETH và rút nó ra khỏi Safe, khiến Safe chỉ còn lại một LP vô giá trị. NFT.
MEV Bot tấn công từ phía trước; KelpDAO tạm thời đình chỉ hoạt động.
Đáng chú ý, giao dịch tấn công ban đầu không bao giờ đến được người thụ hưởng dự định. Kẻ tấn công đã thực hiện khai thác trực tiếp vào mempool công khai, nơi nó bị một bot MEV có tên "yoink" chặn trước, chiếm đoạt toàn bộ khoảng 2,882 rsETH — trị giá khoảng 7.8 triệu đô la — và chuyển hướng đến địa chỉ 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. Trên thực tế, một bot khai thác giá trị tối đa (MEV), chứ không phải kẻ tấn công, đã chiếm đoạt được số tiền bị đánh cắp.
Để đáp lại, KelpDAO thông báo đã phát hiện hoạt động đáng ngờ tại địa chỉ nhận và tạm dừng giao dịch trong 24 giờ để phòng ngừa, trong thời gian đó rsETH không thể được chuyển vào hoặc ra. Nhóm phát triển cho biết họ đang hợp tác với các chuyên gia bảo mật để điều tra và nhấn mạnh rằng biện pháp này chỉ áp dụng cho ví điện tử: các hợp đồng Kelp vẫn an toàn, rsETH vẫn được đảm bảo đầy đủ và tất cả các hoạt động tạo, rút và tích hợp vẫn diễn ra bình thường, người dùng không cần thực hiện bất kỳ thao tác nào.
Các nhà phân tích bảo mật nhấn mạnh rằng đây là hành vi lạm dụng quyền truy cập mô-đun cụ thể đối với một ví Safe duy nhất, chứ không phải là lỗ hổng trong các hợp đồng cốt lõi hoặc khóa chủ sở hữu của Safe. Tuy nhiên, sự cố này vẫn làm nổi bật rủi ro thường trực đối với người dùng ví hợp đồng thông minh: lõi của Safe chưa bao giờ bị khai thác trực tiếp bởi giao thức, nhưng người dùng đã nhiều lần mất tiền do cơ sở hạ tầng bị xâm phạm và các tiện ích mở rộng của bên thứ ba dễ bị tổn thương, bao gồm hơn 2 triệu đô la bị đánh cắp trong các cuộc tấn công đầu độc địa chỉ ảnh hưởng đến 21 người dùng Safe vào năm 2023.
Trách nhiệm công ty
Phù hợp với Hướng dẫn của Dự án Tin cậy, xin lưu ý rằng thông tin được cung cấp trên trang này không nhằm mục đích và không được hiểu là tư vấn pháp lý, thuế, đầu tư, tài chính hoặc bất kỳ hình thức tư vấn nào khác. Điều quan trọng là chỉ đầu tư những gì bạn có thể đủ khả năng để mất và tìm kiếm lời khuyên tài chính độc lập nếu bạn có bất kỳ nghi ngờ nào. Để biết thêm thông tin, chúng tôi khuyên bạn nên tham khảo các điều khoản và điều kiện cũng như các trang trợ giúp và hỗ trợ do nhà phát hành hoặc nhà quảng cáo cung cấp. MetaversePost cam kết báo cáo chính xác, không thiên vị nhưng điều kiện thị trường có thể thay đổi mà không cần thông báo trước.
Giới thiệu về Tác giả
Alisa, một nhà báo tận tâm tại MPostchuyên về tiền điện tử, trí tuệ nhân tạo, đầu tư và lĩnh vực rộng lớn khác. Web3. Với con mắt quan tâm đến các xu hướng và công nghệ mới nổi, cô cung cấp thông tin toàn diện để cung cấp thông tin và thu hút độc giả trong bối cảnh không ngừng phát triển của tài chính kỹ thuật số.
Xem thêm bài viết
Alisa, một nhà báo tận tâm tại MPostchuyên về tiền điện tử, trí tuệ nhân tạo, đầu tư và lĩnh vực rộng lớn khác. Web3. Với con mắt quan tâm đến các xu hướng và công nghệ mới nổi, cô cung cấp thông tin toàn diện để cung cấp thông tin và thu hút độc giả trong bối cảnh không ngừng phát triển của tài chính kỹ thuật số.
