14 triệu USD biến mất trong một đêm: Làm thế nào hợp đồng chưa xác thực trở thành máy rút tiền tự phục vụ của hacker

Sàn giao dịch phi tập trung TMX đã bị tấn công vào một hợp đồng chưa được xác minh trên mạng Arbitrum, dẫn đến khoản lỗ khoảng 1,4 triệu đô la. Theo dữ liệu giám sát của CertiK, tin tặc đã rút cạn tài sản USDT, SOL và WETH trong hợp đồng một cách có hệ thống thông qua các hoạt động lặp đi lặp lại được thiết kế cẩn thận. Sự cố này một lần nữa phơi bày một rủi ro bị đánh giá thấp nghiêm trọng trong hệ sinh thái DeFi: các hợp đồng chưa được kiểm toán giống như két sắt không khóa, chờ được cạy mở.

Tin tặc làm điều đó như thế nào

Phương pháp tấn công của tin tặc không phức tạp, nhưng nó hiệu quả một cách đáng ngạc nhiên:

• Đúc token TMX LP để ghép nối với USDT
• Đổi USDT lấy USDG
• Hủy đặt cược TMX LP
• Bán USDG để có thêm tài sản
• Lặp lại các thao tác trên trong một vòng lặp

Chìa khóa thành công của “chu kỳ chênh lệch giá” này là có một lỗ hổng trong logic hợp đồng - tin tặc tìm thấy sự chênh lệch giá hoặc sai sót trong cơ chế trao đổi có thể bị khai thác nhiều lần. Qua nhiều lần lặp lại, thanh khoản trong hợp đồng cuối cùng cũng bị hút cạn.

Tại sao lại là “Hợp đồng chưa được xác minh”

“Chưa được xác minh” ở đây là một từ khóa. Nó có nghĩa là:

Theo tin tức mới nhất, nhiều dự án mới bỏ qua phiên kiểm toán để đi vào hoạt động nhanh chóng. Cách tiếp cận này có vẻ như là một cách tiết kiệm chi phí, nhưng trên thực tế, nó là một canh bạc vào xác suất - đặt cược rằng sẽ không ai tìm thấy lỗ hổng. Và hacker chính xác là người sẽ xem xét kỹ lưỡng.

Trường hợp này minh họa điều gì?

Nhìn bề ngoài, đây là một tổn thất đối với TMX. Nhưng câu hỏi sâu sắc hơn là:

Người dùng DeFi thiếu ý thức phòng ngừa

Nhiều người tham gia khai thác hoặc giao dịch thanh khoản và hiếm khi chủ động xác minh rằng hợp đồng đã được kiểm toán. Ngược lại, một lý do quan trọng khiến dự án Mutuum Finance được đề cập trong các thông tin liên quan đã thu hút hơn 18.600 người nắm giữ là nó đã hoàn thành một cuộc kiểm toán bảo mật kép của Halborn và CertiK. Đây là một sự tương phản rõ rệt.

Thiếu sót quản lý rủi ro của bên dự án

Bản thân việc niêm yết một hợp đồng chưa được xác minh là một dấu hiệu đỏ. Nếu đó là một dự án chính thức, nó nên được kiểm toán ngay sau khi chức năng hoàn thành, thay vì chờ đợi sự cố được khắc phục.

Chi phí hack đang giảm

Mỗi khi một cuộc tấn công như vậy thành công, tin tặc tích lũy thêm nhiều “thói quen”. Hợp đồng chưa được xác minh tiếp theo có thể phải đối mặt với những rủi ro tương tự.

Những điều cần chú ý tiếp theo

• Liệu nhóm dự án TMX có đưa ra tuyên bố chính thức và kế hoạch bồi thường hay không
• Liệu mạng Arbitrum có tăng cường cảnh báo rủi ro cho các hợp đồng mới hay không
• Liệu tài sản bị đánh cắp trị giá 1,4 triệu đô la có được theo dõi và đóng băng hay không
• Có bao nhiêu hợp đồng tương tự chưa được xác minh có rủi ro

Tổng kết

Bài học cốt lõi của sự cố này rất đơn giản: trong DeFi, xác minh hợp đồng không phải là một tùy chọn, mà là một tùy chọn bắt buộc. Nếu một dự án đi vào hoạt động mà không có kiểm toán bảo mật chính thức, thì mọi quỹ liên quan đều đặt cược vào cấp độ mã của bên dự án. Và hacker chính xác là “kiểm toán mã” nghiêm túc nhất.

Đối với người dùng, trước khi tham gia vào bất kỳ dự án DeFi nào, hãy sử dụng Etherscan để kiểm tra xem hợp đồng có báo cáo kiểm toán từ một tổ chức như CertiK hoặc OpenZeppelin hay không, không yêu cầu nền tảng kỹ thuật nhưng có thể giảm thiểu rủi ro đáng kể. Đối với phía dự án, chi phí kiểm toán thấp hơn nhiều so với chi phí bị tấn công - 1,4 triệu đô la là bài học tốt nhất.