Tổng hợp sự cố an ninh Web3 tháng 3: tổn thất khoảng 139 triệu USD
Tuyển chọn TechFlowTuyển chọn TechFlow
Tổng hợp sự cố an ninh Web3 tháng 3: tổn thất khoảng 139 triệu USD
Tháng 3 năm 2024, đã xảy ra tổng cộng 33 sự cố an ninh với tổng thiệt hại khoảng 139 triệu USD, nguyên nhân liên quan đến lỗ hổng hợp đồng, gian lận nội bộ, tấn công cho vay chớp nhoáng, rò rỉ khóa riêng và tài khoản bị đánh cắp.
Chuyên sâu báo cáo Web3Tác giả: Nhóm an ninh SlowMist
Tổng quan
Theo thống kê từ Kho lưu trữ các vụ tấn công blockchain của SlowMist, trong tháng 3 năm 2024 đã xảy ra tổng cộng 33 sự cố an ninh với tổng thiệt hại khoảng 139 triệu USD. Nguyên nhân bao gồm lỗ hổng hợp đồng, hành vi gian lận nội bộ, tấn công vay chớp nhoáng (flash loan), rò rỉ khóa riêng và tài khoản bị đánh cắp.
Sự kiện chính
WOOFi
Ngày 5 tháng 3 năm 2024, thuật toán sPMM điều khiển định giá giao dịch WOOFi trên DEX WOOFi tại Arbitrum đã bị khai thác. Cuộc tấn công này được thực hiện thông qua một loạt giao dịch vay chớp nhoáng, khi kẻ tấn công lợi dụng thanh khoản thấp để thao túng giá WOO, sau đó hoàn trả khoản vay chớp nhoáng với mức giá thấp hơn. Trong thời gian cực ngắn, kẻ tấn công đã thực hiện thành công 3 lần liên tiếp và thu lợi khoảng 8,75 triệu USD sau khi hoàn trả khoản vay.
(https://twitter.com/_WOOFi/status/1765150687166415129)
Unizen
Ngày 9 tháng 3 năm 2024, nền tảng DeFi Unizen đã mất khoảng 2,1 triệu USD USDT do lỗ hổng gọi ngoài trong hợp đồng thông minh của dự án. Ngày 12 tháng 3, CTO của Unizen, Martin Granström, đăng tweet cho biết đã thu hồi được số tiền trị giá 185.000 USD từ bốn hacker.
(https://twitter.com/SlowMist_Team/status/1766311510362734824)
(https://twitter.com/MartinGranstrom/status/1767279080380973084)
Mozaic
Ngày 15 tháng 3 năm 2024, dự án DeFi Mozaic bị tấn công, khiến kẻ tấn công đánh cắp khoảng 2 triệu USD. Theo Mozaic, vụ trộm cắp này do một lập trình viên thực hiện, người này đã thành công trong việc lấy được khóa riêng từ các thành viên cốt lõi của nhóm phát triển. Mozaic cũng cho biết khoảng 90% số tiền bị đánh cắp đã bị đóng băng trên sàn MEXC.
(https://twitter.com/Mozaic_Fi/status/1768754080271196178)
Remilia
Ngày 17 tháng 3 năm 2024, ví nóng và kho bạc đa ký (multisig) của Remilia – công ty mẹ của Milady – đã bị đánh cắp. Tài sản từ nhiều ví chính thức của Remilia đã bị chuyển đi và bán. Người sáng lập Milady, Charlotte Fang, đăng tweet xác nhận rằng cô đã bị hack. Mặc dù bộ phận tài chính của dự án sử dụng mô hình đa chữ ký, nhưng khóa riêng được lưu trữ trong một trình quản lý mật khẩu mà theo lời Fang đã bị xâm phạm. Kẻ tấn công đã đánh cắp khoảng 490 ETH (tương đương 1,8 triệu USD), 58.000 USD USDC, hơn 130 NFT Milady, 320 NFT Remilio và hàng trăm token phái sinh được phát hành trên nền tảng NFTX. Với mức giá thấp nhất, tổng giá trị các tài sản này vượt quá 6 triệu USD.
(https://twitter.com/CharlotteFang77/status/1769128702561198519)
Dolomite
Ngày 20 tháng 3 năm 2024, hợp đồng cũ của giao thức giao dịch phi tập trung Dolomite trên mạng chính Ethereum – thuộc hệ sinh thái Arbitrum – đã bị tấn công do tồn tại lỗ hổng, khiến khoảng 187 nạn nhân bị mất tài sản với tổng thiệt hại là 1.245.271 USDC, 94.423 DAI và 165,9 WETH (khoảng 1,8 triệu USD). Tính đến ngày 24 tháng 3, dưới sự hỗ trợ của đội an ninh SlowMist và các đối tác khác, Dolomite đã phục hồi được 90% số tiền bị đánh cắp. Đồng thời, đội ngũ Dolomite đã gửi lời cảm ơn đến đội an ninh SlowMist.
(https://twitter.com/Dolomite_io/status/1773845966707454026)
Super Sushi Samurai
Ngày 22 tháng 3 năm 2024, trò chơi blockchain mới Super Sushi Samurai trên Layer 2 Blast đã bị tấn công do lỗ hổng trong hợp đồng token, gây thiệt hại khoảng 4,6 triệu USD. Ngay sau vụ trộm, kẻ tấn công đã liên hệ với dự án và tuyên bố mình là "mũ trắng". Sau đó, Super Sushi Samurai xác nhận toàn bộ tiền đã được hoàn trả, trong đó 5% được trao như phần thưởng.
(https://twitter.com/SSS_HQ/status/1771054306520867242)
Curio Ecosystem
Ngày 24 tháng 3 năm 2024, cơ sở hạ tầng RWA Curio Ecosystem bị tấn công, thiệt hại khoảng 16 triệu USD, liên quan đến các hợp đồng thông minh dựa trên MakerDAO trong hệ sinh thái của nó. Nguyên nhân nghi ngờ là lỗi logic kiểm soát quyền truy cập, cho phép kẻ tấn công đúc thêm 1 tỷ token CGT.
(https://twitter.com/curio_invest/status/1771635979192774674)
Munchables
Ngày 27 tháng 3 năm 2024, dự án Munchables trong hệ sinh thái Blast bị tấn công, thiệt hại khoảng 62,5 triệu USD. Cùng ngày, người sáng lập Blast, Pacman, đăng tweet cho biết: « Các đóng góp cốt lõi của Blast đã thu hồi được 97 triệu USD thông qua chữ ký đa ký. Cảm ơn cựu nhà phát triển Munchables vì đã chọn hoàn trả toàn bộ số tiền mà không cần bất kỳ khoản tiền chuộc nào ».
(https://twitter.com/PacmanBlur/status/1772871466935013701)
Prisma Finance
Ngày 28 tháng 3 năm 2024, giao thức cho vay phi tập trung Prisma Finance bị tấn công, tổng thiệt hại khoảng 3.257,7 ETH (khoảng 11,6 triệu USD). Nguyên nhân là do hàm onFlashloan trong hợp đồng MigrateTroveZap thiếu kiểm tra đầu vào, cho phép kẻ tấn công làm giả dữ liệu di chuyển, dẫn đến việc chuyển nhượng tài sản thế chấp trái phép, ảnh hưởng đến người dùng hợp pháp của Prisma Finance.
(https://twitter.com/PrismaFi/status/1773316945430852058)
Cùng ngày, địa chỉ bắt đầu bằng 0x2d4 – được đánh dấu là một trong những hacker tấn công Prisma Finance – đã gửi tin nhắn tới dự án nói rằng: « Hành động này là một chiến dịch cứu trợ mũ trắng, tôi có thể liên hệ ai để hoàn tiền? ». Tuy nhiên, cuộc trao đổi sau đó giữa hai bên dường như không thuận lợi.
(https://etherscan.io/idm?addresses=0x2d413803a6ec3cb1ed1a93bf90608f63b157507a,0xd8531a94100f15af7521a7b6e724ac4959e0a025&type=1)
Solana
Gần đây, hệ sinh thái Solana đang phải đối phó với một loạt vấn đề về ví bị đánh cắp. Mặc dù nguyên nhân chính xác vẫn chưa được xác định, nhưng một số vụ trộm liên quan đến các bot giao dịch tương tự như Solareum. Theo nhà nghiên cứu bảo mật Plum, lỗ hổng trong bot giao dịch Telegram Solareum đã dẫn đến việc mất khoảng 1 triệu USD SOL.
(https://twitter.com/Plumferno/status/1774549022813872164)
Tổng kết
Trong 33 sự cố an ninh tháng này, có 4 dự án (Munchables, Super Sushi Samurai, Dolomite và Unizen) đã phục hồi được khoảng 68,46 triệu USD tiền bị đánh cắp;
Ba sự cố do hành vi gian lận nội bộ trong tháng đã gây thiệt hại lên tới 65,4 triệu USD, chiếm 46,9% tổng số tiền bị đánh cắp trong tháng. Đội an ninh SlowMist khuyến nghị các dự án cần rà soát kỹ lưỡng các biện pháp an ninh nội bộ và tăng cường kiểm soát truy cập vào thông tin và tài sản nhạy cảm;
Tám vụ khai thác lỗ hổng hợp đồng trong tháng gây thiệt hại khoảng 36,89 triệu USD. Đội an ninh SlowMist khuyến nghị các dự án luôn cảnh giác, thường xuyên kiểm toán an ninh, theo dõi và xử lý các mối đe dọa và lỗ hổng mới để bảo vệ tốt nhất cho dự án và tài sản;
Cuối cùng, các sự kiện được ghi nhận trong bài viết này là những sự cố an ninh chính trong tháng, các trường hợp người dùng cá nhân bị mất tiền không được đưa vào thống kê. Để biết thêm các sự kiện an ninh blockchain, vui lòng truy cập Kho lưu trữ các vụ tấn công blockchain của SlowMist (https://hacked.slowmist.io/), nhấn vào liên kết gốc để chuyển trực tiếp.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
@SlowMist_Team
