Các thông tin chi tiết khác sẽ được đưa ra ánh sáng sau cuộc tấn công vào ngày 2 tháng 7 trên nền tảng cầu nối chuỗi chéo Poly Network, dẫn đến việc một hacker có thể phát hành hàng tỷ token một cách bất ngờ để kiếm lời.
Trong một bài đăng trên Twitter ngày 2 tháng 7, Poly Network xác nhận họ đã trở thành nạn nhân khai thác DeFi mới nhất sau khi những kẻ tấn công thao túng chức năng hợp đồng thông minh trên giao thức cầu nối chuỗi chéo, đồng thời bổ sung thêm rằng họ sẽ tạm thời đình chỉ các dịch vụ.
Trong bản cập nhật gần đây nhất, nhóm đã tiết lộ việc khai thác đã ảnh hưởng đến 57 tài sản tiền điện tử trên 10 chuỗi khối — bao gồm Ethereum, BNB Chain, Polygon, Avalanche, Heco, OKx và các tài sản khác như Metis.
Nó không chỉ rõ số tiền đã bị đánh cắp trong cuộc tấn công nhưng Peckshield trước đó đã báo cáo rằng kẻ khai thác đã chuyển số tiền điện tử trị giá ít nhất 5 triệu đô la ra ngoài.
Token được chuyển ra khỏi Poly Network. Nguồn: Twitter/PeckShield
Nhóm cho biết trong bản cập nhật ngày 3 tháng 7: “Chúng tôi đã bắt đầu liên lạc với các sàn giao dịch tập trung và các cơ quan thực thi pháp luật và tìm kiếm sự hỗ trợ của họ”.
Nó cũng khuyên các nhóm dự án và chủ sở hữu mã thông báo rút thanh khoản và mở khóa mã thông báo LP (nhà cung cấp thanh khoản) của họ.
Sự cố vụ hack Poly Network '34 tỷ'
Nhà phân tích bảo mật DeFi @0xArhat cho biết việc khai thác là kết quả của một lỗ hổng hợp đồng thông minh cho phép tin tặc “tạo ra một tham số độc hại chứa chữ ký xác thực giả và tiêu đề chặn”.
Điều này đã được hợp đồng thông minh chấp nhận, cho phép hacker bỏ qua quá trình xác minh, cho phép chúng phát hành token từ nhóm Ethereum của Poly Network đến địa chỉ của chính chúng trên các chuỗi khác, chẳng hạn như Metis, BNB Chain và Polygon.
Quá trình này được lặp lại đối với các chuỗi khác cho phép kho mã thông báo chồng chất lên nhau.
Nhà phân tích cho biết, có thời điểm, ví của hacker nắm giữ số token trị giá khoảng 42 tỷ USD nhưng chỉ có thể chuyển đổi và đánh cắp một phần trong số đó.
“Bằng cách này, hacker có thể tạo ra hàng tỷ token trên nhiều blockchain khác nhau mà trước đây chưa từng tồn tại và chuyển chúng đến địa chỉ ví của chính chúng.”
Việc khai thác Poly Network mới nhất đã được nhà cung cấp giải pháp bảo mật blockchain Dedaub mệnh danh là “vụ hack 34 tỷ Poly Network”.
Dedaub lưu ý những điểm yếu trong đa chữ ký của giao thức khi nói rằng nó có sự sắp xếp đa chữ ký “3 trên 4” đơn giản trong hai năm, đồng thời bổ sung thêm:
“Nhìn vào sự kiện cuối cùng, chúng tôi phát hiện ra rằng khóa riêng của các địa chỉ được đánh dấu đã bị xâm phạm.”
Dedaub giải thích rằng cuộc tấn công không phức tạp vì không có lỗi logic nào bị khai thác. Nó nói thêm rằng Poly Network phản hồi chậm trong bảy giờ, khiến nền tảng này thiệt hại 5,5 triệu đô la tiền điện tử bị đánh cắp. May mắn thay, việc thiếu tính thanh khoản ở nhiều token đã ngăn chặn được tổn thất thêm.
Sau vụ tấn công, Giám đốc điều hành Binance, Changpeng Zhao đã trấn an khách hàng rằng “Điều này không ảnh hưởng đến người dùng Binance. Chúng tôi không hỗ trợ tiền gửi từ mạng này.”
Cointelegraph đã liên hệ với Poly Network để biết thêm chi tiết nhưng không nhận được phản hồi vào thời điểm xuất bản.
Poly Network đã bị tấn công một lần trước đây trong một trong những vụ khai thác lớn nhất trong ngành vào tháng 8 năm 2021 khi tin tặc, sau đó được tiết lộ có liên kết với tập thể hack của Triều Tiên là Lazarus Group, đã kiếm được hơn 600 triệu USD.