Cầu nối Cross-chain sự kiện an ninh: 10 cuộc tấn công gây thiệt hại gần 2 tỷ đô la

Cầu nối Cross-chain đóng vai trò quan trọng trong hệ sinh thái blockchain, nhưng thường xuyên bị tấn công cũng bộc lộ những rủi ro về an toàn của nó. Bài viết này tổng hợp 10 vụ tấn công cầu nối Cross-chain lớn xảy ra trong những năm gần đây, với tổng số tiền liên quan gần 2 tỷ USD, trong đó khoảng 1,55 tỷ USD đã được thu hồi hoặc bồi thường. Những trường hợp này làm nổi bật tầm quan trọng của an toàn cầu nối Cross-chain, đồng thời cung cấp kinh nghiệm quý giá cho ngành.

ChainSwap: Hai cuộc tấn công đã mất 8 triệu đô la

Vào tháng 7 năm 2021, ChainSwap đã gặp hai lần tấn công trong vòng chưa đầy 9 ngày, lần đầu tiên thiệt hại khoảng 800.000 USD, lần thứ hai thiệt hại khoảng 8 triệu USD. Lần tấn công thứ hai có phạm vi ảnh hưởng lớn hơn, hơn 20 dự án sử dụng ChainSwap để thực hiện cầu nối Cross-chain bị ảnh hưởng.

Khảo sát cho thấy, cuộc tấn công đã lợi dụng lỗ hổng trong việc kiểm tra tính hợp lệ của chữ ký trong giao thức. Để bù đắp thiệt hại, nhiều dự án như ChainSwap đã bồi thường cho người dùng thông qua việc chụp nhanh và phát hành lại token.

Poly Network: Toàn bộ 6.1 triệu đô la Mỹ bị đánh cắp đã được khôi phục

Vào tháng 8 năm 2021, giao thức chuỗi cross Poly Network đã bị tấn công quy mô lớn, tổng thiệt hại tài sản trên Ethereum, chuỗi thông minh Binance và Polygon khoảng 610 triệu USD.

Kẻ tấn công đã lợi dụng lỗ hổng trong quản lý quyền hợp đồng của Poly Network, thành công trong việc thay đổi địa chỉ người xác thực của chuỗi mục tiêu. Mặc dù quy mô tấn công rất lớn, nhưng hacker cuối cùng đã trả lại toàn bộ số tiền bị đánh cắp. Poly Network gọi họ là "hacker mũ trắng" và mời họ làm cố vấn an ninh.

Multichain:600万美元 lỗ hổng đã được bồi thường

Vào tháng 1 năm 2022, Multichain phát hiện một lỗ hổng nghiêm trọng ảnh hưởng đến nhiều loại token. Mặc dù lỗ hổng đã được sửa chữa, nhưng vẫn có một số tài sản của người dùng đang đối mặt với rủi ro. Cuối cùng khoảng 6,04 triệu đô la tài sản đã bị đánh cắp, liên quan đến 7962 địa chỉ người dùng.

Phân tích cho thấy, lỗ hổng xuất phát từ sự sơ suất của Multichain trong việc kiểm tra tính hợp pháp của Token do người dùng gửi đến. Chính thức đã thu hồi gần 50% số tiền bị đánh cắp và khởi xướng đề xuất bồi thường cho những người dùng đã bị thu hồi quyền hạn.

QBridge:8000 triệu USD tổn thất chỉ bồi thường 2%

Vào tháng 1 năm 2022, cầu nối Cross-chain QBridge của giao thức cho vay Qubit đã bị tấn công, gây thiệt hại khoảng 80 triệu USD. Kẻ tấn công đã lợi dụng lỗ hổng trong việc xử lý chuyển khoản token trong danh sách trắng của QBridge, thành công trong việc đúc ra một lượng lớn token giả và cạn kiệt tài sản thế chấp của Qubit.

Hiện tại tỷ lệ sử dụng Qubit đã giảm mạnh, 98% số tiền bị đánh cắp vẫn chưa được bồi thường.

Meter.io: Cam kết bồi thường 440 triệu đô la Mỹ bằng lợi nhuận trong tương lai

Vào tháng 2 năm 2022, cầu nối Cross-chain Meter Passport đã bị tấn công, gây thiệt hại 4,4 triệu đô la. Chính phủ cho biết vấn đề nằm ở "giả định tin cậy sai lầm" trong mã nguồn.

Meter ban đầu dự định bồi thường bằng token MTRG, sau đó đã chuyển sang phát hành token mới PASS và cam kết sẽ sử dụng lợi nhuận trong tương lai để thu hồi. Tuy nhiên, tính đến thời điểm hiện tại, vẫn chưa có bất kỳ hành động thu hồi nào được thực hiện.

Ronin: Được tài trợ bồi thường toàn bộ sau khi bị đánh cắp 6,2 triệu đô la Mỹ

Vào tháng 3 năm 2022, chuỗi Ronin đứng sau Axie Infinity đã bị tấn công lớn trị giá 620 triệu USD. Cuộc điều tra cho thấy, kẻ tấn công đã lấy được quyền truy cập vào hệ thống thông qua các phương pháp kỹ thuật xã hội.

Nhà phát triển Sky Mavis đã nhận được 150 triệu USD vốn đầu tư do Binance dẫn đầu, nhằm bồi thường cho thiệt hại của người dùng. Vào cuối tháng 6, cầu nối Ronin đã được khôi phục, người dùng có thể nhận bồi thường. Tuy nhiên, do giá ETH giảm mạnh, giá trị bồi thường thực tế đã bị thu hẹp.

Wormhole: 3.26 triệu đô la Mỹ tổn thất được bồi thường ngay lập tức

Vào tháng 2 năm 2022, giao thức chuỗi cross Wormhole đã bị tấn công, thiệt hại khoảng 3.26 triệu đô la Mỹ. Lỗi bảo mật xuất phát từ sai sót trong xác thực chữ ký của hợp đồng bên Solana.

Jump Crypto nhanh chóng bơm 120.000 ETH vào Wormhole, bù đắp toàn bộ thiệt hại. Wormhole đã nhanh chóng khôi phục hoạt động.

EvoDeFi: Ước tính thiệt hại lên đến hàng triệu đô la chưa được xử lý

Tháng 6 năm 2022, do vấn đề cầu nối Cross-chain của EVO DeFi, USDT trên DEX ValleySwap của chuỗi Oasis đã bị mất giá nghiêm trọng. Số tiền thiệt hại cụ thể không rõ, nhưng ước tính ở mức hàng triệu USD.

Nguyên nhân sự kiện có thể là EVO DeFi đã đánh cắp tài sản của người dùng qua cửa sau. Các bên liên quan đều vội vàng phủi bỏ quan hệ, người dùng vẫn chưa nhận được bất kỳ giải quyết nào cho tổn thất.

Horizon: gần 100 triệu đô la Mỹ thiệt hại đang được xây dựng phương án bồi thường

Vào tháng 6 năm 2022, cầu nối chính thức của Harmony là Horizon đã bị tấn công, thiệt hại khoảng 100 triệu USD. Chính thức thừa nhận có thể là do rò rỉ khóa riêng.

Harmony đã từng đề xuất bồi thường bằng cách phát hành thêm token trong 3 năm, nhưng không nhận được sự ủng hộ từ cộng đồng. Hiện tại đang tái xây dựng kế hoạch bồi thường.

Nomad: 1,9 triệu USD bị đánh cắp, một phần tiền có thể được thu hồi.

Vào tháng 8 năm 2022, cầu nối Nomad đã bị tấn công với số tiền 190 triệu đô la. Phân tích cho thấy, lỗ hổng xuất phát từ việc thiết lập sai tham số trong quá trình nâng cấp hợp đồng.

Cuộc tấn công liên quan đến 1251 địa chỉ, trong đó địa chỉ ENS chiếm 38% tổng số tiền. Một số hacker mũ trắng cho biết họ sẵn sàng trả lại tiền, nhưng phía dự án vẫn chưa đưa ra kế hoạch bồi thường rõ ràng.

Tóm tắt

Cầu nối Cross-chain thường xuyên bị tấn công, làm nổi bật tính chất rủi ro cao của nó. Ngay cả những dự án hàng đầu cũng khó có thể hoàn toàn tránh khỏi các mối nguy hiểm về an ninh. So với đó, những dự án có nền tảng vững chắc và sức mạnh tài chính mạnh mẽ thể hiện tốt hơn trong việc đối phó với khủng hoảng, có khả năng cao hơn trong việc thu hồi tài sản hoặc bồi thường cho người dùng.

Việc phát hiện kịp thời và xử lý nhanh chóng các hoạt động đáng ngờ là rất quan trọng. Như Hop Protocol và StarGate đã từng thành công trong việc ngăn chặn các cuộc tấn công của hacker. An toàn cầu nối Cross-chain vẫn cần nỗ lực liên tục từ các bên trong ngành, không ngừng hoàn thiện.