Giao thức tài chính phi tập trung (DeFi) chuỗi chéo Rubic đã bị xâm phạm, dẫn đến tiền được lưu trữ trong địa chỉ của người dùng bị bòn rút và chuyển cho tin tặc.

Vào ngày 25 tháng 12, giao thức Rubic đã thông báo rằng một trong các hợp đồng định tuyến của nó đã bị xâm phạm và tất cả các hợp đồng sẽ bị dừng cho đến khi hiểu đầy đủ về tình hình. Thông báo có nội dung:

Rubicans thân mến, Một trong những hợp đồng định tuyến của chúng tôi có thể bị xâm phạm. Tất cả các hợp đồng sẽ bị dừng lại cho đến khi chúng tôi hiểu đầy đủ về tình hình. Vui lòng không sử dụng https://t.co/rDZSZrTUTe.Revoke https://t.co/F8QMpyd517 càng sớm càng tốt qua https://t.co/hwLI2Cwkt1

— Rubic (@CryptoRubic) Ngày 25 tháng 12 năm 2022

Những người tạo ra giao thức cũng khuyên người dùng của họ nên thu hồi ủy quyền hợp đồng thông qua công cụ revoke.cash. Một chủ đề trên Twitter của công ty an ninh mạng blockchain PeckShield giải thích rằng một lỗ hổng trong giao thức Rubic đã dẫn đến việc mất số tiền trị giá 1,41 triệu USD trực tiếp từ các ví ủy quyền cho các hợp đồng thông minh của nó.

Rubic @CryptoRubic được khai thác (w/ ～$1,41M) https://t.co/ckAfQr9kgm1,100 $ETH đã được đưa vào Tornado Cash từ kẻ khai thác https://t.co/yPkrC2hFCZ pic.twitter.com/25rLUcMbkf

— PeckShield Inc. (@peckshield) Ngày 25 tháng 12 năm 2022

Địa chỉ khai thác đã nhận được tiền từ sàn giao dịch phi tập trung Uniswap (DEX) trong các giao dịch liên quan đến stablecoin USD Coin (USDC). PeckShied giải thích rằng vụ hack có thể xảy ra do thêm nhầm USDC vào các bộ định tuyến được hỗ trợ. Hơn nữa, “việc thiếu xác thực trong ruterCallNative” cũng cho phép sử dụng hợp đồng độc hại.

Phân tích nhanh hợp đồng thông minh với sự trợ giúp của chatGPT cho thấy hàm ruterCallNative chứa nhiều lỗ hổng tiềm ẩn, bao gồm cả thông tin đầu vào không hợp lệ cho các tham số “_params” và “_data”. Những điều này có thể cho phép kẻ tấn công truyền thông tin đầu vào độc hại, từ đó có thể dẫn đến hành vi không chính xác hoặc ngoài ý muốn.

Hơn nữa, tham số “_gateway” được truyền cho hàm không bị hạn chế, có khả năng cho phép kẻ tấn công tạo hợp đồng và thực thi hợp đồng đó bằng hợp đồng RubicProxy.

Thật vậy, kẻ tấn công đã triển khai một hợp đồng thông minh tùy chỉnh được sử dụng trong cuộc tấn công. Mã byte được giải mã hiển thị 337 dòng mã cho phép kẻ tấn công thực hiện cuộc tấn công hiệu quả nhất có thể.

Địa chỉ của hacker đầu tiên đã nhận được một lần chuyển 1.161,55 ethereum (ETH) và một lần chuyển 26,88 ETH khác, cả hai đều từ giao thức Uniswap rút độc quyền USDC và đổi nó lấy ethereum được bọc (WETH). Tất cả WETH này sau đó đã được gửi đến một máy trộn trên chuỗi và tổ chức bị trừng phạt Tornado Cash để ẩn danh các khoản tiền bất chính.

Phân tích trên chuỗi cho thấy các giao dịch đến trị giá 1,45 triệu đô la được gửi đến dịch vụ ẩn danh tiền xu có nguồn gốc từ địa chỉ của hacker – trên tổng giá trị đến cho dịch vụ là khoảng 2,9 triệu đô la. Nói cách khác, khoảng một nửa số tài sản được gửi đến máy trộn ngày nay là do kẻ khai thác gửi.

Chuyển khoản đến Tornado.Cash được xử lý vào ngày 25 tháng 12. Địa chỉ của hacker ở bên phải. | Được phép của Arkham Intelligence

Mặc dù số tiền của hacker chiếm một phần đáng kể trong khối lượng giao dịch đến của dịch vụ nhưng tính ẩn danh của họ vẫn rất đáng kể. Khoản tiền gửi có thể nằm trong số khoản rút 2 triệu đô la từ Tornado Cash được xử lý ngày hôm nay hoặc trong số tài sản trị giá 174 triệu đô la vẫn được gửi trong hợp đồng thông minh.

Tornado Cash là một giao thức DeFi hiện đã bất hợp pháp, cho phép người dùng thực hiện chuyển khoản ẩn danh trên chuỗi khối Ethereum. Giao thức sử dụng bằng chứng không có kiến ​​thức (ZK-proofs) để ẩn địa chỉ đầu vào và đầu ra của giao dịch. Các bên thứ ba khó có thể xác định danh tính của các bên tham gia giao dịch hoặc mục đích cụ thể của việc chuyển nhượng.

Tornado Cash là một dự án nguồn mở được xây dựng dựa trên chuỗi khối Ethereum và bất kỳ ai có ví Ethereum đều có thể truy cập được. Người dùng có thể tương tác với hợp đồng Tornado Cash bằng ví Ethereum của họ hoặc giao diện web vẫn có sẵn thông qua dịch vụ lưu trữ phi tập trung Hệ thống tệp liên hành tinh (IPFS). Họ có thể thực hiện chuyển ETH hoặc mã thông báo ẩn danh tuân thủ tiêu chuẩn ERC-20 bằng cách gửi tiền của họ đến hợp đồng Tornado Cash và rút chúng đến địa chỉ mới.

Tin tức này theo sau các báo cáo gần đây rằng tin tặc Triều Tiên đã đánh cắp khoảng 1,2 tỷ USD tiền điện tử và các tài sản ảo khác trong 5 năm qua. Hầu hết các vụ hack đó chỉ xảy ra vào năm 2021.