Hacker chuyển $10 triệu từ cuộc lừa đảo sang Tornado Cash

Một ví tiền điện tử liên kết với một cuộc tấn công lừa đảo vào tháng 9 năm 2023 đã chuyển $10 triệu giá trị của Ether đến dịch vụ trộn tiền điện tử Tornado Cash, làm nổi bật những thách thức an ninh đang diễn ra trong hệ sinh thái tài sản kỹ thuật số.

Chi tiết tấn công và chuyển động quỹ

Vào ngày 21 tháng 3, công ty an ninh blockchain CertiK đã xác định rằng một tài khoản liên quan đến vụ hack tháng 9 năm 2023 đã chuyển 3,700 ETH ( khoảng $10 triệu ) đến Tornado Cash. Tài khoản này đã liên quan đến một vụ vi phạm an ninh nghiêm trọng dẫn đến việc đánh cắp $24 triệu tài sản kỹ thuật số từ một "whale" tiền điện tử - một thuật ngữ chỉ những cá nhân nắm giữ lượng lớn tiền điện tử.

Sự cố ban đầu xảy ra vào ngày 6 tháng 9 năm 2023, khi nạn nhân mất một số tài sản đáng kể trong ETH đã được đặt cọc thông qua dịch vụ đặt cọc thanh khoản Rocket Pool. Cuộc tấn công tinh vi được thực hiện theo hai giai đoạn khác nhau:

• Giai đoạn đầu tiên: Trích xuất 9,579 stETH ( Ethereum đã được đặt cọc )
• Giai đoạn thứ hai: Đánh cắp 4,851 rETH (Rocket Pool ETH)

Lỗ hổng kỹ thuật bị khai thác

Theo dự án Scam Sniffer, một sáng kiến an ninh tập trung vào phát hiện gian lận, nạn nhân đã vô tình ủy quyền cho một giao dịch "Tăng Giới Hạn". Lỗi bảo mật nghiêm trọng này đã cho phép kẻ tấn công phê duyệt các token cho các giao dịch chuyển nhượng trái phép.

Việc khai thác đã tận dụng cơ chế phê duyệt tiêu chuẩn token ERC-20, cho phép các bên thứ ba chi tiêu token thuộc sở hữu của người khác - một tính năng hợp pháp khi được ủy quyền đúng cách, nhưng nguy hiểm khi bị lạm dụng. Điều này đã gây ra một cuộc tranh luận đáng kể trong các vòng tròn an ninh tiền điện tử về những rủi ro vốn có của các chức năng phê duyệt token.

Chuyển đổi và phân phối tài sản

Công ty giám sát an ninh blockchain PeckShield đã ghi nhận rằng sau vụ trộm, kẻ tấn công đã chuyển đổi các tài sản bị đánh cắp thành:

• 13,785 Ether
• 1.64 triệu stablecoin Dai

Sau đó, hacker đã phân phối các tài sản này một cách chiến lược, chuyển một số DAI đến sàn FixedFload trong khi di chuyển số tiền bị đánh cắp còn lại đến nhiều ví tiền điện tử khác.

Vấn Đề Lừa Đảo Toàn Ngành

Sự cố này không phải là sự cố đơn lẻ mà là một phần của xu hướng đáng lo ngại trong an ninh tiền điện tử. Theo dữ liệu từ dự án Scam Sniffer, chỉ riêng trong tháng Hai đã chứng kiến ​​sự thiệt hại gần $47 triệu do các trò lừa đảo liên quan đến phishing trong lĩnh vực tiền điện tử.

Báo cáo cung cấp những hiểu biết quan trọng về các mẫu tấn công:

• 78% các vụ trộm xảy ra trên mạng Ethereum
• Các token ERC-20 chiếm 86% tổng số tiền bị đánh cắp

Các sự cố bảo mật liên quan

Các lỗ hổng phê duyệt token gần đây đã gây ra những tổn thất đáng kể khác. Vào ngày 20 tháng 3, một hợp đồng đã lỗi thời trước đây được sử dụng bởi sàn giao dịch Dolomite đã bị khai thác, dẫn đến việc đánh cắp 1.8 triệu đô la từ người dùng đã cấp quyền cho hợp đồng đó. Để phản ứng, các nhà phát triển Dolomite đã khẩn cấp khuyên người dùng thu hồi tất cả các quyền đã cấp cho địa chỉ hợp đồng bị xâm phạm.

Không phải tất cả các cuộc tấn công đều dẫn đến tổn thất hoàn toàn. Trong một sự cố vào ngày 20 tháng 3, đội ngũ Layerswap đã thành công trong việc hạn chế thiệt hại khi trang web của họ bị xâm phạm, nhờ vào sự can thiệp nhanh chóng từ nhà cung cấp tên miền của họ. Mặc dù đã nỗ lực, khoảng $100,000 đã bị đánh cắp từ khoảng 50 người dùng. Layerswap đã cam kết hoàn trả những tổn thất này và cung cấp thêm bồi thường cho các người dùng bị ảnh hưởng.

Hệ quả bảo mật

Các sự cố này nhấn mạnh mối đe dọa liên tục của các cuộc tấn công lừa đảo trong hệ sinh thái tiền điện tử. Việc khai thác các cơ chế phê duyệt token và lỗ hổng hợp đồng thông minh cho thấy sự cần thiết phải cải thiện các thực tiễn an ninh trong số các chủ sở hữu tài sản kỹ thuật số.

Khi các cuộc tấn công trở nên tinh vi hơn, người dùng tiền điện tử phải duy trì sự cảnh giác cao độ, kiểm tra cẩn thận tất cả các giao dịch và thường xuyên xem xét các phê duyệt hợp đồng. Nỗ lực tập thể của các công ty an ninh, các nhà điều hành nền tảng và cộng đồng rộng lớn hơn là rất quan trọng để phát triển các công cụ và quy trình mạnh mẽ hơn có thể bảo vệ tốt hơn tài sản kỹ thuật số và tạo ra một môi trường an toàn hơn cho các hoạt động tiền điện tử.