OVIX, một giao thức cho vay dựa trên Polygon, gần đây đã phải chịu một thất bại lớn sau khi bị tấn công bởi một lỗ hổng khiến nền tảng này thiệt hại ít nhất 2 triệu USD.

Để đáp lại, OVIX đã tạm dừng hoạt động POS và zkEVM của mình trong khi nỗ lực giải quyết vấn đề và giảm thiểu tác động đến người dùng.

Sự xâm nhập ban đầu được báo cáo bởi công ty bảo mật blockchain CertiK và sau đó được Arkham Intelligence chứng minh.

Giao thức OVIX cho phép vay bằng nhiều loại tiền ổn định, bao gồm các công cụ phái sinh Ethereum và mã thông báo MATIC gốc của Polygon, cũng như mã thông báo đặt cược của Aavegotchi, vGHST.

Arkham tuyên bố rằng kẻ khai thác đã cố tình tăng giá vGHST để có được khoản vay USDC đáng kể. Khi ở trên mạng chính Ethereum (ETH), hacker đã đổi stablecoin lấy 757 ETH.

Kẻ xâm nhập đã sử dụng các stablecoin đã vay để có quyền truy cập vào nhóm cho vay vGHST và nền tảng cho vay OVIX.

Bơm giá GHST

Dữ liệu chuỗi khối từ CoinMarketCap cho thấy rằng họ đã vay một lượng vGHST đáng kể, đẩy giá của đồng tiền bản địa $GHST lên tới 25% chỉ trong nửa giờ.

Thủ phạm đã lấy đi tài sản thế chấp và sau đó đổi nó lấy nhiều token hơn.

Dự án trò chơi blockchain Aavegotchi sử dụng vGHST làm mã thông báo đặt cược. Nó đóng vai trò là mã thông báo chia sẻ cho mã thông báo Aavegotchi gốc, $GHST.

Blocksec, một tổ chức kiểm toán và bảo mật, đã xác minh rằng giá trị của vGHST đã được tăng lên một cách giả tạo và lời tiên tri về giá đã bị giả mạo.

Theo kết quả nghiên cứu của công ty bảo mật blockchain PeckShield, hacker đã sử dụng mã thông báo vGHST để khai thác giao thức.

0VIX đang làm việc với các đối tác bảo mật của mình để xem xét tình hình hiện tại có vẻ liên quan đến vGHST.

Do đó, thị trường POS và zkEVM đã bị tạm dừng, bao gồm cả việc tạm dừng chuyển, đúc và thanh lý oToken.

Hiện chỉ có POS bị ảnh hưởng nhưng zkEVM…

— 0VIX | trực tiếp trên zkEVM (@0vixProtocol) ngày 28 tháng 4 năm 2023

Trong một tuyên bố đưa ra vào ngày 28 tháng 4, OVIX thừa nhận vấn đề và cho biết họ đang điều tra vấn đề với các đối tác bảo mật của mình.

Theo CoinGecko, giá trị của GHST đã tăng từ 1,13 USD lên 1,41 USD.

OVIX tạm dừng giao dịch

OVIX đã đình chỉ giao dịch trên POS và zkEVM do vi phạm. Ngoài ra, người ta tuyên bố rằng điều này sẽ gây ra hậu quả cho việc phát hành, chuyển nhượng và thanh lý oToken.

Những cuộc tấn công như vậy, được cộng đồng DeFi gọi là “các vụ hack thao túng giá cả”, đang lan rộng.

Khi thảo luận về các lỗ hổng trong hệ thống tài chính phi tập trung (DeFi), thuật ngữ “các vụ hack thao túng giá oracle” thường được sử dụng.

Nền tảng DeFi có thể nhận dữ liệu theo thời gian thực về giá trị của nhiều loại tiền điện tử và các tài sản khác thông qua dự báo giá, là các dịch vụ bên ngoài.

Thao túng giá do oracle báo cáo hoặc xâm phạm nguồn cấp dữ liệu của oracle đều là những phương pháp thao túng giá oracle.

Để tạo điều kiện cho các cuộc tấn công khác, chẳng hạn như các khoản vay nhanh hoặc khai thác nhóm thanh khoản, những kẻ tấn công có thể sử dụng thông tin giả mạo này để thổi phồng hoặc giảm giá trị tài sản một cách giả tạo.

Thuật ngữ “tấn công cho vay nhanh” được sử dụng để mô tả một loại hack cụ thể được sử dụng để thao túng các dự đoán về giá cả. Kẻ tấn công trong trường hợp này sẽ vay mượn rất nhiều từ nền tảng DeFi, thổi phồng giá trị thực của tài sản bằng dữ liệu bịa đặt và sau đó bán nó với giá tăng cao.

Sau khi khoản vay được trả lại, kẻ tấn công sẽ giữ số tiền thu được.

Thách thức trong việc phát hiện

Do tính chất liên kết với nhau của nhiều nền tảng DeFi và dự báo giá, việc phát hiện và ngăn chặn các cuộc tấn công thao túng trên các hệ thống này có thể gặp khó khăn.

Các quy trình bảo mật, chẳng hạn như phương pháp xác minh dữ liệu và xác thực đa chữ ký, phải được triển khai bởi nền tảng DeFi và nhà cung cấp dịch vụ định giá để giảm khả năng xảy ra các cuộc tấn công này.

Thông báo chính thức gửi tới kẻ tấn công: Vào lúc 8 giờ sáng UTC ngày 1 tháng 5 năm 2023, quy trình thực thi pháp luật dự kiến ​​sẽ bắt đầu trong trường hợp không có bất kỳ khoản tiền nào được trả lại. Chúng tôi sẽ đi theo những hướng dẫn mà chúng tôi đã đạt được cho đến nay (cảm ơn công chúng vì những điều này), kết hợp nó với việc theo dõi mà chúng tôi đã thực hiện…

— 0VIX | trực tiếp trên zkEVM (@0vixProtocol) ngày 29 tháng 4 năm 2023

Trong khi đó, giao thức OVIX đã đưa ra một tuyên bố cảnh báo thủ phạm rằng chính quyền sẽ vào cuộc nếu họ không phản hồi.