BitcoinWorldNgười dùng Aave mất 305.000 USD trong vụ chiếm quyền trang web Across Protocol

Theo cuộc điều tra của công ty phân tích dữ liệu on-chain Bitquery, được cập nhật vào ngày 12 tháng 11 và Cryptoslate đưa tin, một người dùng đã cung cấp tài sản cho Aave mất khoảng 148,60 aWETH, trị giá xấp xỉ 305.000 USD, sau khi ký giấy phép chi tiêu trên trang giả mạo thay thế tên miền across.to của Across Protocol vào ngày 10 tháng 11. Across lần đầu thông báo về vụ chiếm quyền trong các bài đăng trên X, cho rằng sự việc bắt nguồn từ một cuộc tấn công phi kỹ thuật nhắm vào nhà đăng ký tên miền Namecheap, đồng thời cho biết họ đã giành lại quyền kiểm soát tên miền vào ngày 11 tháng 11.

Dấu vết ngày 12 tháng 11 của Bitquery ước tính 401.900 USD đã bị lấy khỏi chín ví trên năm blockchain trong vụ chiếm quyền, trong đó người gửi tiền duy nhất vào Aave chiếm khoảng 76% tổng số tiền. Tài sản này là token tiền gửi Aave sinh lãi, vì vậy vụ trộm đã ảnh hưởng đến một vị thế cho vay được nắm giữ bên ngoài cầu nối. Những thông tin chính

• Bản cập nhật ngày 12 tháng 11 của Bitquery ước tính 401.900 USD đã bị lấy khỏi chín ví trên Ethereum, Arbitrum, Base, BNB Chain và Optimism trong vụ chiếm quyền across.to ngày 10 tháng 11.

• Vào 20:09:23 UTC ngày 10 tháng 11, một giao dịch Ethereum ghi nhận lệnh phê duyệt không giới hạn từ ví 0x42e7…483c, sau đó gửi khoảng 115,23 aWETH đến 0x2846…1fde và 28,81 aWETH đến 0x0c7c…d37b. Bitquery cho biết đây là tỷ lệ chia 80/20 giữa kẻ tấn công và ví nhận phí của công cụ rút tiền.

• Lịch sử chuyển tiền của người gửi cho thấy bốn lần rút đã hoàn tất trước 20:12:23 UTC, và Bitquery cho biết chủ ví đã thu hồi quyền phê duyệt một phút sau lần rút cuối cùng.

• Across thông báo với người dùng rằng tên miền đã được khôi phục vào ngày 11 tháng 11 với sự trợ giúp của Richard Kirkendall, nhà sáng lập Namecheap. Cointelegraph đưa tin nhóm cam kết sẽ bồi hoàn đầy đủ cho tất cả người dùng bị ảnh hưởng và sẽ công bố báo cáo hậu sự cố sau đó.

• Công ty bảo mật GoPlus ước tính thiệt hại gần 350.000 USD trên sáu mạng blockchain, theo crypto.news, trong đó có Ethereum, Arbitrum, Base, BNB Chain, Ink và Plasma.

Cách một giấy phép được ký dẫn đến khoản tiền gửi Aave

Tài sản bị đánh cắp là aWETH, một token sinh lãi đại diện cho khoản tiền gửi vào Aave. Tài liệu của Aave, được Bitquery dẫn lại, lưu ý rằng các token này có thể được chuyển nhượng và thông điệp giấy phép có thể cho phép một tài khoản khác sử dụng chúng. Theo bản dựng lại của Bitquery, trang Across giả mạo đã yêu cầu một giấy phép như vậy, rồi kẻ tấn công dùng nó để rút token.

Giao dịch đầu tiên gộp lệnh phê duyệt với hai lần chuyển token. Ba lần rút nữa diễn ra trong ba phút tiếp theo, nâng thiệt hại liên quan đến Aave lên khoảng 304.500 USD theo giá tại thời điểm bị đánh cắp — chiếm 76% tổng số tiền được truy vết — trước khi quyền phê duyệt bị thu hồi. Việc thu hồi quyền ngăn các lần chuyển tiếp theo nhưng không thể đảo ngược những giao dịch đã được ghi nhận trên chuỗi, đó là lý do tiền của người gửi đã bị chuyển đi.

Bitquery cũng bổ sung một vụ rút 26,38 ETH trước đó bị bỏ sót, trị giá khoảng 54.000 USD vào thời điểm đó, từ một nạn nhân khác. Họ cho biết con số 294.000 USD được lan truyền rộng rãi trùng với số tài sản trong ví nhận phí, bao gồm cả tiền đã có trong ví trước vụ tấn công.

Các báo cáo không thống nhất về tổng thiệt hại

Các thông tin hiện có khác nhau cả về phạm vi lẫn số liệu. Bản cập nhật ngày 12 tháng 11 của Bitquery đưa tổng thiệt hại lên 401.900 USD từ chín ví trên năm blockchain; GoPlus, theo crypto.news, ước tính gần 350.000 USD trên sáu mạng, bổ sung Ink và Plasma. Bản tin ngày 11 tháng 11 của Cointelegraph lưu ý rằng Across vẫn chưa công bố con số thiệt hại chính thức của mình hoặc số người dùng bị ảnh hưởng.

Across cho biết sự cố bắt nguồn từ việc nhà đăng ký tên miền bị xâm nhập chứ không phải từ các hợp đồng thông minh: kẻ tấn công chuyển hướng khách truy cập đến một trang lừa đảo, còn các tích hợp bên thứ ba và người dùng API không bị ảnh hưởng. GoPlus, theo crypto.news, cho biết các nạn nhân có thể đã bị dụ ký giấy phép EIP-2612, ủy quyền Permit2 hoặc lệnh phê duyệt token trực tiếp.

Vì sao điều này quan trọng

Vụ việc cho thấy một vụ xâm nhập ở cấp tên miền có thể gây thiệt hại lớn hơn cả cầu nối: nạn nhân lớn nhất được truy vết chưa từng chuyển tài sản qua Across mà bị ảnh hưởng thông qua một token cho vay có thể chuyển nhượng. Điều này mở rộng phạm vi tác động của các vụ chiếm quyền website trong DeFi, nơi tài sản được token hóa và sinh lợi ngày càng nằm trong các ví tương tác với giao diện bên thứ ba.

Sự cố này cũng nối tiếp các vụ tấn công website khác trong DeFi, bao gồm những vụ chiếm quyền hồi tháng 10 được truy dấu qua bộ công cụ Step Drainer, cho thấy ngày càng nhiều rủi ro của người dùng nằm ở giao diện thay vì hợp đồng thông minh.

Cần theo dõi điều gì

Across cho biết sẽ công bố báo cáo hậu sự cố đầy đủ, giải thích cách kẻ tấn công giành quyền kiểm soát; cam kết bồi thường là bước tiếp theo cụ thể dành cho người dùng bị ảnh hưởng. Tổng thiệt hại cuối cùng cũng có thể thay đổi nếu Bitquery hoặc GoPlus điều chỉnh kết quả truy vết, và trong thời gian chờ đợi, các nạn nhân được hướng dẫn kiểm tra quyền phê duyệt trên Revoke.cash.

Tổng quan thị trường

Vào 03:16 UTC ngày 13 tháng 11, Aave (AAVE) được giao dịch ở mức 112 USD (₹10.568), giảm 5,5% trong 24 giờ và 14,2% trong bảy ngày, với vốn hóa thị trường 1,73 tỷ USD và khối lượng giao dịch 24 giờ đạt 153,9 triệu USD, theo dữ liệu của CoinPaprika. Ethereum (ETH) được giao dịch ở mức 1.981 USD (₹186.288), giảm 3,5% trong ngày và 11,2% trong tuần.

Bài viết Aave user loses $305,000 in Across Protocol website hijack xuất hiện đầu tiên trên BitcoinWorld.