1. Ngày 6 tháng 7 năm 2022, một ngày thứ Tư cực kỳ bình thường.
Lập trình viên Xiaosan cuối cùng cũng hoàn thành bài kiểm tra hợp đồng cuối cùng, xoay người trên chiếc ghế nhân tạo và hưng phấn duỗi người.
"Được rồi, tiếp theo là một nhiệm vụ khác hôm nay - xây dựng và triển khai nút đặt cược Ethereum."
Hai tháng sau, Ethereum sắp bắt đầu Hợp nhất. Xiaosan có đầy đủ 289 ETH trong ví của mình và dự định sử dụng chúng để quản lý tài chính.
"Nhưng hình như hôm nay ví sổ cái có lỗi? Quên đi, chúng ta hãy đến tài khoản mà tôi đã triển khai hợp đồng. Dù sao, việc xuất bản và thử nghiệm hợp đồng sẽ tiêu tốn một ít xăng."
Sau khi gõ xong văn bản chuyển nhượng, người phục vụ đi pha một tách cà phê. Một ly latte bình thường, giống như một ngày thứ Tư bình thường.
Sau khi pha cà phê trở về, Xiaosan bắt đầu làm mới Etherscan trong khi uống rượu để xem giao dịch vừa gửi đã được xác nhận hay chưa. "Hả? Hình như tài khoản thanh toán không đúng?"
Đột nhiên, tim cô chủ lỡ nhịp, ly cà phê trên tay rơi xuống đất, tay chân cô lạnh buốt:
"Kết thúc! Tôi đã gửi 289 ETH vào tài khoản thử nghiệm Hardhat!"
2、
Hardhat là khung phát triển phổ biến và được sử dụng phổ biến nhất trong Ethereum. Nó cung cấp một loạt công cụ và chức năng để hỗ trợ các nhà phát triển phát triển, thử nghiệm và triển khai các hợp đồng thông minh trên nền tảng Ethereum.
Đối với các nhà phát triển, một trong những chức năng quan trọng nhất của Hardhat là tạo hoặc phân nhánh môi trường Ethereum cục bộ để thử nghiệm các hợp đồng tại địa phương.
Khi bạn thực thi lệnh nút hardhat npx cục bộ,
Hardhat sẽ tạo một mạng mô phỏng cục bộ và tạo 20 tài khoản EOA thử nghiệm cố định và các khóa riêng tương ứng.
Đồng thời, Hardhat cũng sẽ khởi tạo số dư 10.000 ETH cho 20 tài khoản EOA này để tạo điều kiện cho các nhà phát triển sử dụng các tài khoản này để xuất bản các hợp đồng địa phương để thử nghiệm.
(Có 20 tài khoản "trị giá trăm triệu", mình là vua localhost!)
Lưu ý rằng mạng mô phỏng cục bộ này không liên quan gì đến mạng chính Ethereum và số dư 10.000 ETH trên 20 tài khoản EOA này chỉ mang tính cục bộ.
Tuy nhiên, vì 20 tài khoản được tạo là cố định và khóa riêng được công khai nên bất kỳ ai trên mạng chính Ethereum đều có thể sử dụng các khóa riêng này để rút tài sản trong các tài khoản này.
Nếu một kỹ sư quên chuyển đổi môi trường sau khi hoàn thành thử nghiệm hợp đồng, coi môi trường thử nghiệm là môi trường mạng chính và gửi ETH đến 20 tài khoản thử nghiệm này thì một thảm kịch sẽ xảy ra...
3,
Như đã mô tả trước đó, vào ngày 6 tháng 7 năm ngoái, tổng số 289 ETH đã được một người bạn threepvault.eth gửi vào tài khoản thử nghiệm Hardhat.
0xf39Fd6e51aad88F6F4ce6aB8827279cffFb92266
Tại sao tài khoản 0xf39F là tài khoản thử nghiệm đầu tiên được tạo bởi Hardhat nên được sử dụng phổ biến nhất.
Vì vậy, người ta suy đoán rằng lập trình viên kém may mắn này đã sao chép tài khoản thử nghiệm đầu tiên để hoàn thành thử nghiệm nhưng lại quên chuyển cấu hình và gửi 289 ETH đến địa chỉ của tài khoản thử nghiệm này trên mạng chính.
Nếu tính theo giá tiền tệ vào thời điểm đó, 289ETH trị giá 340.000 đô la Mỹ thì bây giờ nó có giá trị hơn 500.000 đô la Mỹ, một bi kịch là 3 triệu nhân dân tệ.
Điều gì đã xảy ra tiếp theo? Chúng ta hãy xem dữ liệu trên chuỗi:
Việc chuyển tiền sai lầm này xảy ra ở khối 15086827, vẫn là kỷ nguyên POW của Ethereum.
Khối này là khối Flashbots và MEV Searcher đã may mắn nắm bắt được “cơ hội” Backrun này.
Giao dịch chuyển tiền sai lầm này đã được nhập vào gói MEV và giao dịch chênh lệch giá được thực hiện chặt chẽ. Sau khi thanh toán phí gas là 4,8 ETH, khoảng 284 ETH còn lại trong tài khoản thử nghiệm Hardhat 0xf39F đã được chuyển vào tài khoản 0x043D.
Từ 100ETH đến 10ETH đến 1ETH, và cuối cùng thậm chí không chừa lại 0,1ETH:
Lúc này, khối tài sản trị giá 2 đến 3 triệu nhân dân tệ này nên coi như đã mất và sẽ không bao giờ quay trở lại.
4,
Bốn mươi phút sau thảm kịch, nạn nhân của chúng tôi đã lên mạng.
Anh ta đã gửi một NFT cho hacker. NFT này có tên là Message In a Bottle, có thể gói một đoạn văn bản thành một bức ảnh và chuyển nó thành NFT.
Trong NFT này, anh ấy đã mô tả hành trình tinh thần của mình:
xin chào, tôi đang cố gắng đặt cược vào nút xác thực
tối nay. Phải gửi ETH đến ví nóng do lỗi sổ cái.
Nghĩ rằng tôi đang gửi nó đến ví của người triển khai hợp đồng của mình.. hóa ra đó là một tài khoản thử nghiệm hardhat công khai.
Bình thường tôi khá cẩn thận (ví, gửi giao dịch thử nghiệm nhỏ) nhưng tối nay lại bất cẩn. Cảm thấy tồi tệ.
Nếu bạn thấy điều này, tôi rất muốn thử thương lượng một khoản tiền thưởng hoặc thứ gì đó tương tự. Tôi đã phạm một sai lầm thật ngu ngốc
dịch:
Xin chào, tối nay tôi muốn đặt cọc một nút xác minh. Do lỗi sổ cái nên ETH phải được gửi vào ví nóng.
Tôi nghĩ rằng tôi đang gửi nó đến ví triển khai hợp đồng của mình..(Chỉ sau khi quá trình chuyển khoản hoàn tất) tôi mới phát hiện ra rằng đó là tài khoản thử nghiệm Hardhat công khai.
Tôi thường rất cẩn thận (ví phần cứng, gửi các giao dịch thử nghiệm nhỏ, v.v.) nhưng tối nay lại bất cẩn. Cảm thấy xấu.
Nếu bạn thấy điều này, tôi rất muốn thử thương lượng tiền thưởng hoặc thứ gì đó tương tự. Tôi đã phạm một sai lầm rất ngu ngốc
5,
Nhưng hacker đã phớt lờ nạn nhân.
Năm giờ sau thảm kịch, chủ sở hữu tài khoản 0x043D, hacker MEVSearcher, đã trực tuyến. Anh ta khéo léo bắt đầu chuyển tài sản, chia 284 ETH và chuyển từng cái một cho Tornado.
6,
Tuy nhiên, câu chuyện không kết thúc ở đây.
15 giờ sau thảm kịch, nạn nhân của chúng tôi lại lên mạng.
Sau khi mất 289 ETH, tôi không biết chủ sở hữu đã đến đây bằng cách nào trong 15 giờ qua.
Bây giờ lẽ ra anh ấy phải chấp nhận thực tế mất 289 ETH, nhưng anh ấy vẫn chưa hoàn toàn chấp nhận nó.
Chủ sở hữu đã mua một tên miền ENS có tên
willpay100ethiffundsarereturnedtothirdpvault.eth (nếu bạn trả lại tiền cho threepvault, tôi sẽ trả cho bạn 100 ETH), đồng thời gửi tên miền này cho hacker và đưa ra lời đề nghị của hắn.
Có lẽ anh ta muốn truyền tải thông điệp theo cách này, hy vọng hacker sẽ phát hiện ra lương tâm hoặc tỏ ra thương xót và chuyển lại 189 ETH cho anh ta.
Vào tháng 3 năm 2023, đã hơn nửa năm trôi qua kể từ khi thảm kịch xảy ra. Không có hành động nào đối với địa chỉ của hacker, không có giao dịch nào được thực hiện và tài khoản của nạn nhân cũng không có bất kỳ mục nhập nào từ Tornado. Tôi nghĩ câu chuyện này kết thúc ở đây và không nên có phần tiếp theo. Đây là khu rừng tối tăm, sẽ không có ai trả giá cho lỗi lầm của bạn, mọi người chỉ có thể tin tưởng vào chính mình.