Phiên bản cũ chưa bị đóng, chẳng khác nào cánh cửa vẫn chưa khóa. Lần này On Nexus mất 8,5 BTC
Ngày 25 tháng 10, nền tảng cũ DotSwap V1 của giao thức thanh khoản gốc Bitcoin On Nexus đã bị tấn công, và ngày 27 tháng 10, phía chính thức đã phát thông báo an toàn. Kẻ tấn công lợi dụng cơ chế ký phía máy chủ mà V1 để lại, trong khoảng 4 giờ đã rút khoảng 8,5 BTC từ bể thanh khoản của V1 và các tài khoản liên quan, theo giá lúc đó vào khoảng 685.000 USD. Báo cáo của PANews, KuCoin 快讯 và Odaily đều thống nhất về cách diễn đạt, con số và thời gian đều khớp.
V1 là nền tảng giao dịch cũ ra mắt năm 2024, sau đó dự án đã chuyển sang kiến trúc mới Nexus, và V1 vốn đã nằm trong kế hoạch ngừng hoạt động. Vấn đề là ngừng hoạt động mới chỉ là kế hoạch, dịch vụ vẫn đang chạy, quyền ký vẫn còn. Kẻ tấn công tạo dữ liệu ký bất hợp pháp, vượt qua cơ chế kiểm soát rủi ro thông thường của nền tảng, rồi lần lượt rút tiền từ bể thanh khoản. Theo mô tả lại từ Odaily về giám sát của phía chính thức, cuộc tấn công lần này sử dụng script tự động, trước tiên thăm dò giao diện rồi dần dần rút tiền, liên quan đến 99 loại token Runes. Đội ngũ cũng đề cập rằng cách thức này tương đồng với xu hướng tấn công tự động gần đây; đây là nhận định của đội ngũ, chưa có bằng chứng độc lập, nên tôi tạm ghi nhận đây là quan điểm một phía.
Ai lỗ, ai không lỗ, lần này phía chính thức nói rất rõ. Bể thanh khoản V1 dùng đa chữ ký lưu ký, tiền trước hết được gom vào kho đa chữ ký do nền tảng kiểm soát, nên toàn bộ tiền gửi còn nằm trong bể V1 đều bị ảnh hưởng, người chịu thiệt là các nhà cung cấp thanh khoản chưa kịp chuyển đi. Ví tự lưu ký của người dùng giao dịch thông thường không bị ảnh hưởng, vì giao dịch hằng ngày dùng cơ chế giao dịch tự lưu ký nguyên bản của Bitcoin, private key chưa bao giờ được đặt trên máy chủ của nền tảng. Cùng một sự việc, hai loại ví, kết cục hoàn toàn khác nhau; ranh giới chính là tiền nằm trong tay ai.
Sau sự cố, V1 đã bị gỡ bỏ hoàn toàn, giao diện mạng của dịch vụ ký cũ cũng đã bị tháo dỡ, còn kênh giao dịch của kiến trúc mới Nexus không bị ảnh hưởng. Đội ngũ cho biết đang phối hợp với SlowMist truy vết dòng tiền, đồng thời đẩy các địa chỉ liên quan đến hacker tới các sàn giao dịch lớn; báo cáo tổng kết và phương án xử lý vẫn đang được thực hiện, khi viết bài vẫn chưa công bố, nên tạm thời đừng nói phương án xử lý như thể đã được chốt.
Đối với nhà đầu tư nhỏ lẻ, bài học từ chuyện này rất cụ thể. Dự án có phiên bản mới không có nghĩa phiên bản cũ tự động an toàn. Chỉ cần trong hợp đồng cũ vẫn còn tiền thật, giao diện cũ vẫn nắm quyền ký, kẻ tấn công không cần phá hệ thống mới, chỉ cần tìm cánh cửa cũ nhất là đủ. Phiền phức hơn là, nhiều người thậm chí không biết mình هنوز chưa chuyển đi. Đến khi thông báo được phát ra mới đi kiểm tra thì bể có thể đã cạn.
Quan điểm của tôi rất thẳng. Sau này khi nghe dự án nói đã di chuyển, hãy kiểm tra hai việc: một là phiên bản cũ đã có thông báo ngừng hoạt động chính thức chưa, hai là bản thân bạn còn số dư nào ở phiên bản cũ hay không. Nếu phiên bản cũ chưa có thông báo ngừng hoạt động thì đừng tiếp tục để tiền ở đó. Với những người đã chuyển đi rồi, cũng đừng chỉ nhìn phiên bản mới chạy mượt đến đâu; trước khi thông báo đóng phiên bản cũ chưa ra, khoản đó vẫn chưa thể coi là đã thanh toán xong.
Bạn đã từng để lại tiền ở phiên bản cũ của dự án nào mà chưa chuyển đi chưa, lần gần nhất bạn xác nhận nó ngừng hoạt động là khi nào?
#BTC #比特币生态 #安全复盘 #DotSwap #DeFi安全
—— web3韭菜小凯
Nội dung chỉ là tổng hợp thông tin công khai, không cấu thành lời khuyên đầu tư. Số tiền được nhắc đến lấy theo thông báo chính thức của On Nexus và các báo cáo công khai của PANews, KuCoin 快讯, Odaily; các giải thích tiếp theo từ phía dự án vui lòng lấy theo kênh chính thức.
Ngày 25 tháng 10, nền tảng cũ DotSwap V1 của giao thức thanh khoản gốc Bitcoin On Nexus đã bị tấn công, và ngày 27 tháng 10, phía chính thức đã phát thông báo an toàn. Kẻ tấn công lợi dụng cơ chế ký phía máy chủ mà V1 để lại, trong khoảng 4 giờ đã rút khoảng 8,5 BTC từ bể thanh khoản của V1 và các tài khoản liên quan, theo giá lúc đó vào khoảng 685.000 USD. Báo cáo của PANews, KuCoin 快讯 và Odaily đều thống nhất về cách diễn đạt, con số và thời gian đều khớp.
V1 là nền tảng giao dịch cũ ra mắt năm 2024, sau đó dự án đã chuyển sang kiến trúc mới Nexus, và V1 vốn đã nằm trong kế hoạch ngừng hoạt động. Vấn đề là ngừng hoạt động mới chỉ là kế hoạch, dịch vụ vẫn đang chạy, quyền ký vẫn còn. Kẻ tấn công tạo dữ liệu ký bất hợp pháp, vượt qua cơ chế kiểm soát rủi ro thông thường của nền tảng, rồi lần lượt rút tiền từ bể thanh khoản. Theo mô tả lại từ Odaily về giám sát của phía chính thức, cuộc tấn công lần này sử dụng script tự động, trước tiên thăm dò giao diện rồi dần dần rút tiền, liên quan đến 99 loại token Runes. Đội ngũ cũng đề cập rằng cách thức này tương đồng với xu hướng tấn công tự động gần đây; đây là nhận định của đội ngũ, chưa có bằng chứng độc lập, nên tôi tạm ghi nhận đây là quan điểm một phía.
Ai lỗ, ai không lỗ, lần này phía chính thức nói rất rõ. Bể thanh khoản V1 dùng đa chữ ký lưu ký, tiền trước hết được gom vào kho đa chữ ký do nền tảng kiểm soát, nên toàn bộ tiền gửi còn nằm trong bể V1 đều bị ảnh hưởng, người chịu thiệt là các nhà cung cấp thanh khoản chưa kịp chuyển đi. Ví tự lưu ký của người dùng giao dịch thông thường không bị ảnh hưởng, vì giao dịch hằng ngày dùng cơ chế giao dịch tự lưu ký nguyên bản của Bitcoin, private key chưa bao giờ được đặt trên máy chủ của nền tảng. Cùng một sự việc, hai loại ví, kết cục hoàn toàn khác nhau; ranh giới chính là tiền nằm trong tay ai.
Sau sự cố, V1 đã bị gỡ bỏ hoàn toàn, giao diện mạng của dịch vụ ký cũ cũng đã bị tháo dỡ, còn kênh giao dịch của kiến trúc mới Nexus không bị ảnh hưởng. Đội ngũ cho biết đang phối hợp với SlowMist truy vết dòng tiền, đồng thời đẩy các địa chỉ liên quan đến hacker tới các sàn giao dịch lớn; báo cáo tổng kết và phương án xử lý vẫn đang được thực hiện, khi viết bài vẫn chưa công bố, nên tạm thời đừng nói phương án xử lý như thể đã được chốt.
Đối với nhà đầu tư nhỏ lẻ, bài học từ chuyện này rất cụ thể. Dự án có phiên bản mới không có nghĩa phiên bản cũ tự động an toàn. Chỉ cần trong hợp đồng cũ vẫn còn tiền thật, giao diện cũ vẫn nắm quyền ký, kẻ tấn công không cần phá hệ thống mới, chỉ cần tìm cánh cửa cũ nhất là đủ. Phiền phức hơn là, nhiều người thậm chí không biết mình هنوز chưa chuyển đi. Đến khi thông báo được phát ra mới đi kiểm tra thì bể có thể đã cạn.
Quan điểm của tôi rất thẳng. Sau này khi nghe dự án nói đã di chuyển, hãy kiểm tra hai việc: một là phiên bản cũ đã có thông báo ngừng hoạt động chính thức chưa, hai là bản thân bạn còn số dư nào ở phiên bản cũ hay không. Nếu phiên bản cũ chưa có thông báo ngừng hoạt động thì đừng tiếp tục để tiền ở đó. Với những người đã chuyển đi rồi, cũng đừng chỉ nhìn phiên bản mới chạy mượt đến đâu; trước khi thông báo đóng phiên bản cũ chưa ra, khoản đó vẫn chưa thể coi là đã thanh toán xong.
Bạn đã từng để lại tiền ở phiên bản cũ của dự án nào mà chưa chuyển đi chưa, lần gần nhất bạn xác nhận nó ngừng hoạt động là khi nào?
#BTC #比特币生态 #安全复盘 #DotSwap #DeFi安全
—— web3韭菜小凯
Nội dung chỉ là tổng hợp thông tin công khai, không cấu thành lời khuyên đầu tư. Số tiền được nhắc đến lấy theo thông báo chính thức của On Nexus và các báo cáo công khai của PANews, KuCoin 快讯, Odaily; các giải thích tiếp theo từ phía dự án vui lòng lấy theo kênh chính thức.
