Ví Gnosis Safe bị tấn công, 7,8 triệu USD rsETH bị đánh cắp

Tin từ TechFlow ngày 15 tháng 9, theo báo cáo của CoinDesk, một ví Gnosis Safe trên Ethereum đã bị tấn công, khoảng 2.900 rsETH (tương đương 7,8 triệu USD) đã bị chuyển đi. Các công ty bảo mật BlockSec, Blockaid và SlowMist chỉ ra rằng nguyên nhân gốc rễ nằm ở lỗi trong cơ chế xác thực ủy quyền của hợp đồng Multicall mà ví đã cấp quyền – hợp đồng vốn phải xác minh quyền của trình gọi, nhưng lỗ hổng cho phép bất kỳ ai cũng có thể vượt qua bước kiểm tra chỉ bằng cách nhắm vào chính hợp đồng đó.

Sau đó, kẻ tấn công đưa rsETH vào một pool giao dịch dựa trên token vô giá trị "Permissionless Attacker Token". Bot tự động "yoink" đã chi khoảng 47.000 USD để chiếm ưu tiên thực hiện giao dịch, chuyển 2.882 rsETH sang một địa chỉ độc lập. Nhà phát hành rsETH là Kelp DAO khẳng định hợp đồng của họ an toàn, rsETH có tài sản thế chấp đầy đủ, và đã kích hoạt chế độ tạm ngưng đối với các địa chỉ liên quan trong vòng 24 giờ.