SwapNet, một aggregator trao đổi phi tập trung, đã mất khoảng 16,8 triệu đô la tài sản tiền điện tử sau khi các kẻ tấn công khai thác một hợp đồng router bị xâm phạm mà người dùng đã cấp quyền truy cập mã thông báo liên tục bằng cách tắt một tính năng bảo mật quan trọng.

Điều đã xảy ra: lỗ hổng trên một aggregator DEX

Công ty bảo mật PeckShield đã báo cáo về cuộc tấn công, nhắm vào hoạt động liên quan đến SwapNet có thể truy cập qua Matcha Meta, một meta-aggregator DEX được phát triển bởi đội ngũ 0x. Lỗ hổng đã ảnh hưởng đến những người dùng đã tắt hệ thống 'ủy quyền một lần' (One-Time Approval) của 0x, cấp quyền trực tiếp cho các hợp đồng tổng hợp bên dưới.

Trên mạng lưới Base, kẻ tấn công đã chuyển đổi khoảng 10,5 triệu đô la thành USDC (USDC) thành khoảng 3 655 Ether (ETH) trước khi chuyển khoản sang Ethereum (ETH).

Chiêu trò này là một chiến thuật phổ biến được sử dụng để làm phức tạp hóa nỗ lực truy vết.

« Chúng tôi biết về một sự cố liên quan đến SwapNet mà một số người dùng của Matcha Meta đã tắt quyền truy cập một lần có thể đã bị ảnh hưởng », Matcha Meta cho biết trong một thông cáo. Nền tảng đã xác định hợp đồng router của SwapNet (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e) là quyền hạn khẩn cấp nhất mà người dùng cần phải thu hồi.

Đọc thêm: Các công tố viên Hàn Quốc mất 47 triệu đô la Bitcoin bị tịch thu do cuộc tấn công lừa đảo

Tại sao điều này quan trọng: những lỗ hổng DeFi kéo dài

Sự cố này làm nổi bật một căng thẳng cơ bản trong tài chính phi tập trung giữa sự tiện lợi và an ninh. Quyền truy cập một lần buộc người dùng phải xác nhận từng giao dịch một, giảm bề mặt tấn công liên tục nhưng tạo ra sự cản trở cho các nhà giao dịch thường xuyên. Quyền truy cập không giới hạn mang lại tốc độ với cái giá là quyền truy cập liên tục của các hợp đồng thông minh vào quỹ của người dùng.

SwapNet vẫn chưa công bố báo cáo kỹ thuật sau sự cố cũng như cho biết liệu những người dùng bị ảnh hưởng có được bồi thường hay không.

Cùng ngày, kiểm toán viên bảo mật Pashov đã báo cáo một lỗ hổng khác trên mainnet Ethereum liên quan đến khoảng 37 WBTC (WBTC), có giá trị hơn 3,1 triệu đô la, liên quan đến một hợp đồng đã đóng và không được xác minh được triển khai chỉ 41 ngày trước.

Cách đây khoảng một tháng, cộng đồng DeFi đã bị sốc bởi vụ hack Trust Wallet.

Trust Wallet xác nhận rằng khoảng 7 triệu đô la tiền điện tử đã bị đánh cắp qua một bản cập nhật bị xâm phạm của tiện ích mở rộng trình duyệt. Lỗ hổng chỉ ảnh hưởng đến phiên bản 2.68 của tiện ích mở rộng Chrome, được phát hành vào ngày 24 tháng 12. May mắn thay, người dùng ứng dụng di động không bị ảnh hưởng. Changpeng Zhao, người sáng lập Binance, chủ sở hữu Trust Wallet, cho biết ví sẽ bồi thường cho tất cả người dùng bị ảnh hưởng.

Đọc tiếp: Tại sao cá voi lại mua Seeker trong khi tiền thông minh bán?