Sentiment, một nền tảng tài chính phi tập trung (DeFi) cung cấp dịch vụ cho vay và đi vay trên mạng Arbitrum lớp 2, đã bị tấn công độc hại vào ngày 4 tháng 4, gây ra thiệt hại gần 1 triệu đô la.

Kẻ tấn công đã sử dụng lỗi tái nhập trong Balancer, một giao thức thanh khoản mà Sentiment tích hợp, để thực hiện các giao dịch gian lận và rút tiền khỏi nền tảng.

Theo tài khoản Twitter chính thức của Sentiment, nhóm đã nhận thấy hoạt động vay bất thường vào khoảng 6:00 chiều UTC ngày 4 tháng 4 và ngay lập tức tạm dừng hợp đồng chính để ngăn chặn tổn thất thêm.

Nhóm cũng đã nhờ đến sự trợ giúp của các chuyên gia bảo mật bên thứ ba từ PeckShield, những người đã xác nhận bản chất và mức độ của cuộc tấn công và cung cấp bản sửa lỗi cho lỗ hổng.

Cập nhật trạng thái 1/4A về tình hình hiện tại: Vào khoảng 06:00:00 PM +UTC, nhóm Sentiment đã phát hiện ra hoạt động vay mượn bất thường hiện đã được tuyên bố là một hành vi khai thác độc hại.

— Sentiment (@sentimentxyz) ngày 5 tháng 4 năm 2023

Sentiment cho biết người dùng hiện có thể trả nợ và rút tiền và đang hợp tác với cơ quan thực thi pháp luật và các bên khác để truy tìm tin tặc và thu hồi số tài sản tiền điện tử bị đánh cắp.

Bạn cũng có thể thích: Giao thức DeFi Euler Finance bị hack 197 triệu đô la

Chuyên gia tư vấn bảo mật của nền tảng, PeckShield, đã công bố một bản phân tích chi tiết về lỗ hổng này trên blog của mình, giải thích cách kẻ tấn công khai thác lỗi tái nhập chế độ xem trong Balancer để thao túng số dư nhóm và thế chấp quá mức các khoản vay của họ trên Sentiment.

Theo Peckshield, kẻ tấn công sau đó đã sử dụng các khoản vay nhanh để vay và thanh lý một lượng lớn token từ Sentiment, lấy đi số tiền mã hóa trị giá khoảng 1 triệu đô la.

Nguyên nhân gốc rễ được biết đến là tính năng reentrancy chỉ đọc của Balancer: https://t.co/ynuWr6PZMR. Đây là tx liên quan: https://t.co/iqvS48njau https://t.co/Mxkc1xoJn5 pic.twitter.com/IPzmtLKrBx

— PeckShield Inc. (@peckshield) ngày 5 tháng 4 năm 2023

Khai thác DeFi đang gia tăng

Cuộc tấn công vào Sentiment là vụ mới nhất trong một loạt vụ trộm nhắm vào các nền tảng DeFi. Vào ngày 13 tháng 3, Euler Finance đã phải chịu một cuộc tấn công cho vay chớp nhoáng dẫn đến mất 197 triệu đô la tài sản kỹ thuật số.

Phân tích của Peckshield về cuộc tấn công cho rằng kẻ khai thác đã lợi dụng lỗ hổng trong logic quyên góp và thanh lý của Euler Finance để đánh cắp tiền.

Tuy nhiên, tin tặc đã trả lại số tiền bị đánh cắp sau nhiều tuần diễn ra các cuộc đấu trí căng thẳng, bao gồm cả lời đề nghị thưởng một triệu đô la từ Euler, lời đe dọa sẽ có hành động pháp lý và lời thú tội ăn năn từ thủ phạm.

Các cuộc tấn công này đã khuếch đại các rủi ro bảo mật mà các nền tảng DeFi phải đối mặt, chủ yếu khi chúng dựa vào các giao thức bên ngoài có thể có các lỗi hoặc lỗ hổng tiềm ẩn.

Ngành công nghiệp tiền điện tử đã mất hơn 3 tỷ đô la vào tay tin tặc và kẻ lừa đảo vào năm 2022, và năm nay đã chứng kiến ​​sự tái diễn của những vụ trộm cắp và đánh cắp như vậy. Chỉ riêng trong tháng trước, theo báo cáo của crypto.news, tin tặc đã đánh cắp hơn 21 triệu đô la từ các giao thức DeFi.

Đọc thêm: Paxful tạm dừng thị trường, có thể không hoạt động trở lại