Cầu nối cross-chain WAX bị tấn công: 5 giao dịch chuyển đi khoảng 75.000 USD, lỗ hổng vẫn chưa được vá khi công bố
$WAXP Nói kết luận trước: đây là kiểu tấn công cầu nối cross-chain điển hình “chuỗi nguồn khai gian, chuỗi đích thực thi đúng theo thông tin nhận được”. Thiệt hại không lớn, nhưng cấu trúc lỗ hổng đáng để ghi nhớ.
1. Diễn biến. Lúc 09:06 (UTC), kẻ tấn công tạo tài khoản mới fasdfas.al trên WAX; lúc 09:46, rút 52.986,50 USDC phiên bản được ánh xạ; lúc 09:47, tiếp tục rút USDT, DAI, WETH và WBTC phiên bản được ánh xạ theo cách tương tự. Lúc 10:00 (UTC), phía Solana giải ngân 52.986,50 USDC theo chỉ thị; lúc 10:05 (UTC), phía Ethereum giải ngân lượng tài sản tương ứng.
2. Cơ cấu số tiền. Tổng cộng 5 giao dịch gồm 52.986 USDC, 21.558 USDT, 840 DAI, 2,55 WETH và 0,11 WBTC. Ước tính ban đầu của Blockaid là khoảng 75.000 USD; ước tính cập nhật của TokenPost ngày 23 tháng 10 là khoảng 90.000 USD.
3. Nguyên nhân gốc rễ. Vấn đề không nằm ở phía nhận. Theo phân tích của Blockaid, các hợp đồng ở phía Solana và Ethereum đã thực thi “đúng” theo thông tin nhận được; sai sót nằm ở khai báo sổ cái phía WAX — kẻ tấn công không thanh toán tài sản tương ứng trên WAX, nhưng cầu nối lại xác định đây là yêu cầu rút tiền hợp lệ. Chênh lệch giữa sổ cái phía WAX và lượng tài sản thực tế vào khoảng 1.522 USD.
4. Tình trạng hiện tại. Khi công bố thông tin, Blockaid xếp sự việc vào loại khai thác lỗ hổng đang diễn ra; các báo cáo theo dõi vào sáng ngày 23 tháng 10 cho biết lỗ hổng vẫn chưa được vá, và phạm vi thiệt hại có thể tiếp tục gia tăng.
Quan điểm của tôi: bề mặt tấn công của cầu nối cross-chain thường không nằm ở logic xác minh của chuỗi đích, mà ở độ tin cậy của khâu khai báo trên chuỗi nguồn. Người dùng đang nắm giữ tài sản trong cầu nối chỉ có thể chờ đợi một cách thụ động cho đến khi có thông báo khắc phục.
#WAX #Bảo mật cầu nối cross-chain
Chỉ là quan điểm cá nhân, không cấu thành lời khuyên đầu tư