Lỗi kế toán, không phải khóa bị đánh cắp — và chính điều đó khiến vụ Arcus đáng để đọc.
Sự thật: Arcus, DEX do đội ngũ đứng sau dYdX xây dựng, tiết lộ hôm 10/11 rằng vào khoảng 22:07 giờ New York ngày 9/11, một tài khoản mới đã lợi dụng lỗ hổng trong cách sàn xử lý các giao dịch chuyển tiền giữa các tài khoản phụ. Tài khoản này ghi nhận số dư lớn hơn nhiều so với số tiền thực có, rồi rút 2.234.391 USDG trước khi hoạt động rút tiền bị dừng lại. Khoảng 3 triệu đô la yêu cầu rút tiền khác bị giữ lại do giới hạn tốc độ của bridge. Lỗ hổng được khắc phục trong chưa đầy một giờ, và Arcus bù toàn bộ khoản thiếu hụt bằng ngân quỹ công ty — tiền của người dùng không bị ảnh hưởng. Địa chỉ ban đầu của kẻ tấn công được công bố để các sàn có thể đánh dấu. (Báo cáo sự cố chính thức của Arcus, 10/11; The Block, 11/11.)
Ý kiến của tôi: số tiền này nhỏ so với các vụ hack lớn trong năm nay, nhưng loại lỗ hổng mới là điều đáng chú ý: không phải khóa riêng tư bị lộ, mà là hệ thống sổ sách nội bộ tính toán sai. Có hai yếu tố đã giúp tình hình được kiểm soát: giới hạn tốc độ của bridge đã giữ lại 3 triệu đô la, và ngân quỹ công ty bù khoản thiếu hụt mà không đẩy gánh nặng sang người dùng. Trong bối cảnh thị trường vẫn đang thận trọng, đây là lời nhắc rằng rủi ro lớn nhất đôi khi không nằm ở thị trường, mà ở những giả định được đưa vào mã nguồn.
Điều tôi đang theo dõi: liệu có thể truy vết số tiền bị đánh cắp qua địa chỉ đã công bố hay không, và liệu các DEX khác có kiểm tra lại logic tài khoản phụ của họ hay không.
Theo các bạn, biện pháp bảo vệ nào quan trọng hơn đối với một DEX: kiểm toán mã nguồn hay giới hạn rút tiền như thế này?
Đây là phân tích của tôi, không phải lời khuyên tài chính — hãy luôn tự nghiên cứu.
#KeamananCrypto #DeFi
Sự thật: Arcus, DEX do đội ngũ đứng sau dYdX xây dựng, tiết lộ hôm 10/11 rằng vào khoảng 22:07 giờ New York ngày 9/11, một tài khoản mới đã lợi dụng lỗ hổng trong cách sàn xử lý các giao dịch chuyển tiền giữa các tài khoản phụ. Tài khoản này ghi nhận số dư lớn hơn nhiều so với số tiền thực có, rồi rút 2.234.391 USDG trước khi hoạt động rút tiền bị dừng lại. Khoảng 3 triệu đô la yêu cầu rút tiền khác bị giữ lại do giới hạn tốc độ của bridge. Lỗ hổng được khắc phục trong chưa đầy một giờ, và Arcus bù toàn bộ khoản thiếu hụt bằng ngân quỹ công ty — tiền của người dùng không bị ảnh hưởng. Địa chỉ ban đầu của kẻ tấn công được công bố để các sàn có thể đánh dấu. (Báo cáo sự cố chính thức của Arcus, 10/11; The Block, 11/11.)
Ý kiến của tôi: số tiền này nhỏ so với các vụ hack lớn trong năm nay, nhưng loại lỗ hổng mới là điều đáng chú ý: không phải khóa riêng tư bị lộ, mà là hệ thống sổ sách nội bộ tính toán sai. Có hai yếu tố đã giúp tình hình được kiểm soát: giới hạn tốc độ của bridge đã giữ lại 3 triệu đô la, và ngân quỹ công ty bù khoản thiếu hụt mà không đẩy gánh nặng sang người dùng. Trong bối cảnh thị trường vẫn đang thận trọng, đây là lời nhắc rằng rủi ro lớn nhất đôi khi không nằm ở thị trường, mà ở những giả định được đưa vào mã nguồn.
Điều tôi đang theo dõi: liệu có thể truy vết số tiền bị đánh cắp qua địa chỉ đã công bố hay không, và liệu các DEX khác có kiểm tra lại logic tài khoản phụ của họ hay không.
Theo các bạn, biện pháp bảo vệ nào quan trọng hơn đối với một DEX: kiểm toán mã nguồn hay giới hạn rút tiền như thế này?
Đây là phân tích của tôi, không phải lời khuyên tài chính — hãy luôn tự nghiên cứu.
#KeamananCrypto #DeFi