SwapNet, một bộ tổng hợp sàn giao dịch phi tập trung, đã mất khoảng 16,8 triệu đô la tài sản tiền mã hóa sau khi kẻ tấn công khai thác một hợp đồng router bị xâm phạm, hợp đồng này đã được người dùng cấp quyền phê duyệt token vĩnh viễn sau khi họ tắt một tính năng bảo mật quan trọng.
Điều gì đã xảy ra: Vụ khai thác bộ tổng hợp DEX
Công ty bảo mật PeckShield reported vụ tấn công, nhắm vào hoạt động liên quan đến SwapNet có thể truy cập thông qua Matcha Meta, một bộ tổng hợp DEX meta được xây dựng bởi đội ngũ 0x. Lỗ hổng ảnh hưởng đến những người dùng đã chọn không sử dụng hệ thống One-Time Approval của 0x, từ đó cấp quyền trực tiếp cho các hợp đồng bộ tổng hợp bên dưới.
Trên mạng Base, kẻ tấn công đã chuyển đổi khoảng 10,5 triệu đô USDC (USDC) thành khoảng 3.655 Ether (ETH) trước khi bridge số tiền này sang Ethereum (ETH).
Động thái này là một chiến thuật phổ biến nhằm làm phức tạp nỗ lực truy vết.
“Chúng tôi nhận thức được một sự cố với SwapNet mà người dùng có thể đã bị phơi nhiễm trên Matcha Meta, đối với những người đã tắt One-Time Approvals,” Matcha Meta cho biết trong một tuyên bố. Nền tảng này xác định hợp đồng router của SwapNet (0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e) là quyền phê duyệt khẩn cấp nhất mà người dùng cần thu hồi.
Also Read: South Korean Prosecutors Lose $47M Seized Bitcoin To Phishing Attack
Tại sao quan trọng: Lỗ hổng DeFi dai dẳng
Sự cố này nhấn mạnh mâu thuẫn cơ bản trong tài chính phi tập trung giữa tính tiện lợi và bảo mật. One-Time Approvals yêu cầu người dùng phê duyệt từng giao dịch riêng lẻ, giảm bề mặt tấn công kéo dài nhưng tăng ma sát cho các trader thường xuyên. Cấp quyền không giới hạn mang lại tốc độ, đổi lại là việc cho phép các hợp đồng thông minh truy cập liên tục vào tiền của người dùng.
SwapNet chưa công bố báo cáo kỹ thuật chi tiết cũng như chưa cho biết liệu người dùng bị ảnh hưởng có được bồi thường hay không.
Cùng ngày, kiểm toán viên bảo mật Pashov đã phát hiện một vụ khai thác khác trên mạng chính Ethereum liên quan đến khoảng 37 WBTC (WBTC), trị giá hơn 3,1 triệu đô la, gắn với một hợp đồng mã nguồn đóng, chưa được xác minh được triển khai chỉ 41 ngày trước đó.
Khoảng một tháng trước, cộng đồng DeFi đã bị sốc bởi vụ hack Trust Wallet.
Trust Wallet confirmed that approximately $7 million in cryptocurrency was stolen thông qua một bản cập nhật tiện ích mở rộng trình duyệt bị xâm phạm. Vụ vi phạm chỉ ảnh hưởng đến phiên bản 2.68 của tiện ích mở rộng Chrome, được phát hành vào ngày 24 tháng 12. May mắn thay, người dùng ví di động không bị ảnh hưởng. Changpeng Zhao, nhà sáng lập Binance, đơn vị sở hữu Trust Wallet, cho biết ví sẽ bồi thường cho tất cả người dùng bị ảnh hưởng.
Read Next: Why Are Whales Buying Seeker While Smart Money Sells?