Chữ ký là thật không có nghĩa số tiền này thuộc về bạn.
08:42 ngày 9 tháng 11, giờ London, Blockaid phát cảnh báo: cầu nối xuyên chuỗi Ethereum của Ankr đang bị tấn công. Kẻ tấn công dùng một khoản tiền gửi Optimism rất nhỏ, liên tục gọi withdraw() năm lần. Phân tích nguyên nhân gốc rễ của SlowMist cho biết: cả năm biên nhận xuyên chuỗi đều tham chiếu đến cùng một giao dịch Optimism có thật, chỉ khác người nhận, loại token và số tiền đã bị sửa đổi; hơn nữa, mỗi biên nhận đều có chữ ký đồng thuận đáng tin cậy của cầu nối. Tùy cách tính của từng bên, thiệt hại nằm trong khoảng 286.000 đến 305.000 USD. Các token bị rút gồm ankrETH, aMATICb, ankrPOL và ANKR; phần lớn đã được đổi thành ETH. Tính đến hiện tại, Ankr vẫn chưa có phản hồi công khai chính thức.
Góc nhìn kỹ sư:
· Hợp đồng chỉ xác minh “con dấu có thật không”, mà không đối chiếu với chuỗi nguồn để kiểm tra “khoản tiền gửi này đã gửi gì, đã được quy đổi chưa”;
· Một khoản tiền gửi có thể được quy đổi năm lần, cho thấy biên nhận không được liên kết riêng với từng sự kiện trên chuỗi nguồn và cũng không có cơ chế chống phát lại;
· Nguồn gốc chữ ký vẫn đang được điều tra; hiện chưa xác nhận người ký có bị xâm nhập hay không.
Ba điều dành cho người nắm giữ token:
1) Nếu bạn đang giữ tài sản xuyên chuỗi như ankrETH, ankrPOL, hãy theo dõi thông báo chính thức trước; đừng nhấp vào bất kỳ “liên kết khôi phục” nào;
2) Chỉ để tiền dùng tạm thời trong cầu nối xuyên chuỗi; tài sản nắm giữ dài hạn thì chuyển về chuỗi gốc;
3) Trước khi chuyển số tiền lớn qua chuỗi, hãy kiểm tra kỹ: có cơ chế xác minh độc lập, giới hạn cho mỗi giao dịch và khả năng tạm dừng khẩn cấp hay không.
Nhân viên ngân hàng thấy biên lai cũ có đóng dấu vẫn phải kiểm tra sao kê, vậy mà cây cầu xử lý hàng trăm nghìn đô la lại chỉ nhìn con dấu. Bạn nghĩ có nên bắt buộc cầu nối xuyên chuỗi áp dụng hạn mức rút tiền không? Chia sẻ ở phần bình luận nhé 😏
#链上安全 #CầuNốiXuyênChuỗi
$ANKR
08:42 ngày 9 tháng 11, giờ London, Blockaid phát cảnh báo: cầu nối xuyên chuỗi Ethereum của Ankr đang bị tấn công. Kẻ tấn công dùng một khoản tiền gửi Optimism rất nhỏ, liên tục gọi withdraw() năm lần. Phân tích nguyên nhân gốc rễ của SlowMist cho biết: cả năm biên nhận xuyên chuỗi đều tham chiếu đến cùng một giao dịch Optimism có thật, chỉ khác người nhận, loại token và số tiền đã bị sửa đổi; hơn nữa, mỗi biên nhận đều có chữ ký đồng thuận đáng tin cậy của cầu nối. Tùy cách tính của từng bên, thiệt hại nằm trong khoảng 286.000 đến 305.000 USD. Các token bị rút gồm ankrETH, aMATICb, ankrPOL và ANKR; phần lớn đã được đổi thành ETH. Tính đến hiện tại, Ankr vẫn chưa có phản hồi công khai chính thức.
Góc nhìn kỹ sư:
· Hợp đồng chỉ xác minh “con dấu có thật không”, mà không đối chiếu với chuỗi nguồn để kiểm tra “khoản tiền gửi này đã gửi gì, đã được quy đổi chưa”;
· Một khoản tiền gửi có thể được quy đổi năm lần, cho thấy biên nhận không được liên kết riêng với từng sự kiện trên chuỗi nguồn và cũng không có cơ chế chống phát lại;
· Nguồn gốc chữ ký vẫn đang được điều tra; hiện chưa xác nhận người ký có bị xâm nhập hay không.
Ba điều dành cho người nắm giữ token:
1) Nếu bạn đang giữ tài sản xuyên chuỗi như ankrETH, ankrPOL, hãy theo dõi thông báo chính thức trước; đừng nhấp vào bất kỳ “liên kết khôi phục” nào;
2) Chỉ để tiền dùng tạm thời trong cầu nối xuyên chuỗi; tài sản nắm giữ dài hạn thì chuyển về chuỗi gốc;
3) Trước khi chuyển số tiền lớn qua chuỗi, hãy kiểm tra kỹ: có cơ chế xác minh độc lập, giới hạn cho mỗi giao dịch và khả năng tạm dừng khẩn cấp hay không.
Nhân viên ngân hàng thấy biên lai cũ có đóng dấu vẫn phải kiểm tra sao kê, vậy mà cây cầu xử lý hàng trăm nghìn đô la lại chỉ nhìn con dấu. Bạn nghĩ có nên bắt buộc cầu nối xuyên chuỗi áp dụng hạn mức rút tiền không? Chia sẻ ở phần bình luận nhé 😏
#链上安全 #CầuNốiXuyênChuỗi
$ANKR