Tin tặc không nhất thiết phải phá mã hợp đồng thông minh. Chỉ cần nắm quyền quản trị, chúng có thể kiểm soát toàn bộ tài sản của dự án!
Sự cố bảo mật mới nhất của X100 là một ví dụ.
Theo phân tích sơ bộ ngày 24 tháng 10 của công ty bảo mật blockchain Blockaid, cơ chế quản trị của X100 bị nghi là đã bị tấn công, liên quan đến khoảng 4,85 triệu USD tài sản.
Mấu chốt của sự việc nằm ở cơ cấu quản trị “Thượng viện” của X100.
Cơ chế này có ba ghế, ban đầu được thiết kế để quản lý các quyền liên quan đến dự án bằng hình thức biểu quyết đa số.
Tuy nhiên, kẻ tấn công bị nghi đã kiểm soát hai trong số đó, qua đó nắm đủ quyền để thông qua các nghị quyết quản trị.
Sau đó, kẻ tấn công dùng những quyền này để thao túng token trong kho bạc và thanh khoản của dự án, khiến tài sản bị chuyển đi.
Tiếp đó, Blockaid truy vết thêm giao dịch liên quan thứ ba.
Sự việc này đáng chú ý ở ba điểm:
1. Điểm xâm nhập có thể không phải là mã hợp đồng thông minh, mà là quyền kiểm soát quản trị.
2. Với cơ cấu quản trị gồm ba ghế, chỉ cần hai ghế bị kiểm soát là cơ chế cân bằng và kiểm soát được thiết kế ban đầu có thể mất tác dụng.
3. Dù giao dịch tuân thủ các quy tắc phân quyền trong hợp đồng, điều đó không có nghĩa là giao dịch đã được ủy quyền hợp pháp.
Đây cũng là lời nhắc nhở cho các dự án DeFi rằng ngoài việc kiểm toán hợp đồng thông minh, quyền quản trị, bảo mật của người ký và việc quản lý kho bạc cũng quan trọng không kém.
Hiện tại, con số khoảng 4,85 triệu USD là giá trị sơ bộ có liên quan. Thiệt hại thực tế và toàn bộ phương thức tấn công vẫn cần được xác minh thêm.
Sự cố bảo mật mới nhất của X100 là một ví dụ.
Theo phân tích sơ bộ ngày 24 tháng 10 của công ty bảo mật blockchain Blockaid, cơ chế quản trị của X100 bị nghi là đã bị tấn công, liên quan đến khoảng 4,85 triệu USD tài sản.
Mấu chốt của sự việc nằm ở cơ cấu quản trị “Thượng viện” của X100.
Cơ chế này có ba ghế, ban đầu được thiết kế để quản lý các quyền liên quan đến dự án bằng hình thức biểu quyết đa số.
Tuy nhiên, kẻ tấn công bị nghi đã kiểm soát hai trong số đó, qua đó nắm đủ quyền để thông qua các nghị quyết quản trị.
Sau đó, kẻ tấn công dùng những quyền này để thao túng token trong kho bạc và thanh khoản của dự án, khiến tài sản bị chuyển đi.
Tiếp đó, Blockaid truy vết thêm giao dịch liên quan thứ ba.
Sự việc này đáng chú ý ở ba điểm:
1. Điểm xâm nhập có thể không phải là mã hợp đồng thông minh, mà là quyền kiểm soát quản trị.
2. Với cơ cấu quản trị gồm ba ghế, chỉ cần hai ghế bị kiểm soát là cơ chế cân bằng và kiểm soát được thiết kế ban đầu có thể mất tác dụng.
3. Dù giao dịch tuân thủ các quy tắc phân quyền trong hợp đồng, điều đó không có nghĩa là giao dịch đã được ủy quyền hợp pháp.
Đây cũng là lời nhắc nhở cho các dự án DeFi rằng ngoài việc kiểm toán hợp đồng thông minh, quyền quản trị, bảo mật của người ký và việc quản lý kho bạc cũng quan trọng không kém.
Hiện tại, con số khoảng 4,85 triệu USD là giá trị sơ bộ có liên quan. Thiệt hại thực tế và toàn bộ phương thức tấn công vẫn cần được xác minh thêm.
