Một cross-chain bridge nối mạng Alephium (ALPH) với Ethereum (ETH) và BNB Chain đã mất khoảng 815.000 đô la trong khoảng bảy phút sau khi kẻ tấn công ép backend chấp nhận các thông điệp giả mạo.
Key Points:
- Kẻ tấn công đã rút khoảng 815.000 đô la khỏi TokenBridge của Alephium trên hai chuỗi chỉ trong khoảng bảy phút.
- Chúng đã mint 13,76 triệu wrapped ALPH không được bảo chứng, nhiều hơn toàn bộ lượng wrapped trước đó của bridge.
- Alephium cho rằng nguyên nhân là lỗi backend off-chain, không phải khóa guardian bị đánh cắp, và cam kết hoàn trả cho người dùng bị ảnh hưởng.
Alephium TokenBridge bị rút cạn trong chớp mắt
Công ty an ninh Blockaid là bên đầu tiên phát hiện vụ tấn công vào ngày 30 tháng 5, với đơn vị phản ứng tình nguyện SEAL 911 nhanh chóng tham gia điều tra. Kẻ tấn công đã đẩy các yêu cầu phê duyệt chuyển token giả mạo qua TokenBridge trên cả Ethereum và BNB Chain, rút cạn dự trữ và mint token mới.
Toàn bộ chuỗi hành động diễn ra trong khoảng bảy phút.
Trên Ethereum, kẻ trộm đã lấy 200.967 Tether (USDT), 17.594 USD Coin (USDC), và các khoản nhỏ Wrapped Ether và Wrapped Bitcoin, trong khi phía BNB Chain bị rút 36.750 USDT và 24,386 Wrapped BNB. Cùng ví đó cũng đã mint 13,76 triệu wrapped ALPH mà không có ALPH thật bị khóa phía sau.
Khoản thu này vượt quá toàn bộ nguồn cung wrapped trước đó của bridge, khiến kẻ tấn công nắm giữ những đồng coin được “tạo ra từ hư không”.
Cũng nên đọc: Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
Lỗi off-chain, không phải khóa bị đánh cắp
Các báo cáo ban đầu quy lỗi vụ vi phạm cho ba trong số bốn khóa guardian bị xâm phạm, nhưng sau đó Alephium nói nguyên nhân thực sự là một lỗi off-chain trong backend của bridge, và Blockaid cũng điều chỉnh lập luận ban đầu của mình cho phù hợp. Dự án vận hành một nhánh riêng (private fork) của hệ thống nhắn tin Wormhole với chỉ bốn signer, vì vậy cùng một lỗ hổng có thể đang tồn tại ở các bridge khác xây dựng trên mã tương tự.
Việc thay đổi nguyên nhân đã tái định khung toàn bộ sự cố.
Alephium cam kết hoàn trả người dùng
Alephium đã dừng hoạt động bridge, kêu gọi holder rút thanh khoản khỏi các pool ALPH, và hứa đưa ra lộ trình khôi phục cho người dùng có coin vẫn bị khóa bên trong. Với bridge đang ngoại tuyến, kẻ tấn công không thể đẩy số wrapped ALPH không được bảo chứng quay trở lại qua đó, và số tiền bị đánh cắp vẫn nằm yên trong ví tại thời điểm công bố. Đội ngũ cho biết họ đang cân nhắc mọi phương án để bù đắp đầy đủ cho người dùng bị ảnh hưởng, với một bản báo cáo chi tiết (postmortem) sẽ được công bố trong tuần này.
Sự cố này nối dài chuỗi thời gian khắc nghiệt đối với các cross-chain bridge, hạ tầng đường ống vận chuyển tài sản giữa các blockchain riêng biệt.
Một vụ tấn công gần đây vào Verus-Ethereum bridge drained about $11.58 million, và chiến thuật giả mạo thông điệp gợi lại khoản thất thoát hơn 320 triệu đô la của Wormhole vài năm trước. Một thống kê đã ước tính riêng tháng Năm đã có hơn 52 triệu đô la tiền điện tử bị đánh cắp trên toàn ngành.
Đọc tiếp: ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800