Cầu nối Cross-chain an toàn sự cố hồi cứu: Phân tích mười trường hợp tấn công

Trong những năm gần đây, với sự phát triển của công nghệ blockchain, cầu nối Cross-chain đã trở thành cơ sở hạ tầng quan trọng để kết nối các hệ sinh thái công chain khác nhau. Tuy nhiên, do nó mang lại một lượng lớn dòng tiền, cầu nối Cross-chain cũng trở thành mục tiêu chính cho các cuộc tấn công của hacker. Bài viết này sẽ xem xét mười sự kiện tấn công cầu nối Cross-chain có ảnh hưởng sâu rộng, tổng kết kinh nghiệm và bài học, nhằm cung cấp tham khảo cho sự phát triển an toàn của ngành.

ChainSwap: Đòn tấn công kép và phát hành lại token

Vào tháng 7 năm 2021, ChainSwap đã gặp phải hai cuộc tấn công của hacker chỉ trong vòng 9 ngày, tổng thiệt hại khoảng 8,8 triệu đô la. Cuộc tấn công thứ hai ảnh hưởng đặc biệt rộng rãi, hơn 20 dự án sử dụng ChainSwap để thực hiện chuỗi cross bị ảnh hưởng.

Khảo sát cho thấy, cuộc tấn công xuất phát từ việc giao thức không xác minh chặt chẽ tính hợp lệ của chữ ký, cho phép kẻ tấn công sử dụng chữ ký tự tạo để thực hiện giao dịch. Do tổn thất chủ yếu liên quan đến token quản trị, ChainSwap và nhiều dự án bị ảnh hưởng đã chọn thực hiện chụp nhanh và phát hành token mới để bù đắp cho tổn thất của các nhà đầu tư và người cung cấp thanh khoản.

Poly Network: Cuộc tấn công lớn nhất trong lịch sử và bước ngoặt bất ngờ

Vào tháng 8 năm 2021, Poly Network đã gặp phải cuộc tấn công lớn nhất trong lịch sử cầu nối Cross-chain, với số tiền lên đến 610 triệu USD. Kẻ tấn công đã khéo léo lợi dụng lỗ hổng trong quản lý quyền hợp đồng, thành công trong việc sửa đổi địa chỉ xác thực của chuỗi mục tiêu.

Tuy nhiên, sự kiện này đã có một bước ngoặt kịch tính. Kẻ tấn công cuối cùng đã chọn trả lại toàn bộ số tiền và được Poly Network gọi là "hacker mũ trắng". Sự kiện này không chỉ cho thấy những thách thức bảo mật lớn mà cầu nối Cross-chain phải đối mặt, mà còn nhấn mạnh tầm quan trọng của việc tăng cường quản lý quyền hợp đồng và cơ chế xác minh.

Multichain: Lỗ hổng ẩn và bồi thường một phần

Vào tháng 1 năm 2022, Multichain đã phát hiện một lỗ hổng nghiêm trọng ảnh hưởng đến nhiều loại token. Mặc dù lỗ hổng đã được khắc phục, vẫn có khoảng 6 triệu đô la tài sản bị đánh cắp.

Lỗi phát sinh từ việc kiểm tra tính hợp lệ của Token do người dùng nhập vào không đủ, đặc biệt là không xem xét rằng không phải tất cả các token đều triển khai hàm permit. Đội ngũ Multichain đang tích cực truy đuổi tài sản bị đánh cắp và đã đề xuất một kế hoạch bồi thường cho những người dùng đã bị thu hồi quyền hạn, nhưng sẽ không chịu trách nhiệm về những tổn thất do việc xử lý chậm.

QBridge: Lỗi xác thực token và thiệt hại lớn

Vào cuối tháng 1 năm 2022, cầu nối Cross-chain QBridge của giao thức cho vay Qubit đã bị tấn công, với tổn thất khoảng 80 triệu đô la. Kẻ tấn công đã lợi dụng một lỗ hổng quan trọng trong việc xử lý chuyển nhượng token trong danh sách trắng của QBridge.

Cụ thể, QBridge đã không thực hiện xác minh thứ hai đối với địa chỉ không, dẫn đến việc kẻ tấn công đã tạo ra một số lượng lớn token xETH trên BSC mà không cần gửi bất kỳ token nào. Những token giả này sau đó đã được sử dụng làm tài sản thế chấp để vay các token khác từ Qubit, làm cạn kiệt quỹ của giao thức.

Meter.io: Giả thuyết sai lầm và phương án bồi thường đổi mới

Vào tháng 2 năm 2022, cầu nối Cross-chain Meter Passport đã bị tấn công do "giả định niềm tin sai lầm", gây ra thiệt hại lên tới 4,4 triệu đô la. Kẻ tấn công đã thành công khai thác lỗ hổng của chức năng gửi ERC20 cơ bản, giả mạo chuyển khoản BNB và ETH.

Nhóm Meter đã áp dụng một kế hoạch bồi thường sáng tạo, phát hành token PASS mới để bù đắp tổn thất cho người dùng, và cam kết sẽ mua lại những token này bằng lợi nhuận trong tương lai. Cách làm này tuy sáng tạo, nhưng cũng đã dấy lên cuộc thảo luận về tính bền vững lâu dài.

Ronin：tấn công kỹ thuật xã hội và bồi thường tài chính lớn

Vào tháng 3 năm 2022, chuỗi Ronin đứng sau Axie Infinity đã遭遇 một cuộc tấn công kỹ thuật xã hội được lên kế hoạch kỹ lưỡng, với thiệt hại lên tới 620 triệu USD. Kẻ tấn công đã xâm nhập thành công vào hệ thống của Sky Mavis thông qua một công ty tuyển dụng giả mạo và cuối cùng kiểm soát đủ số lượng nút xác thực.

Mặc dù số tiền bị đánh cắp không thể thu hồi, nhưng Sky Mavis đã nhanh chóng hoàn thành vòng tài trợ 150 triệu đô la để bồi thường cho tổn thất của người dùng. Sự kiện này làm nổi bật tầm quan trọng của các yếu tố con người trong an ninh chuỗi block bên cạnh các lỗ hổng công nghệ.

Wormhole：Lỗ hổng hợp đồng cốt lõi và biện pháp khắc phục nhanh chóng

Tháng 2 năm 2022, giao thức chuỗi cross Wormhole đã bị tấn công 326 triệu USD do lỗi xác thực chữ ký trong hợp đồng cốt lõi của Solana. Kẻ tấn công đã thành công trong việc giả mạo thông điệp của "người bảo vệ", đã đúc một lượng lớn whETH.

Đáng chú ý là Jump Crypto đã nhanh chóng tiêm một lượng ETH tương đương vào Wormhole, giúp giao thức có thể nhanh chóng khôi phục hoạt động. Hành động này cho thấy tầm quan trọng của một nền tảng vững mạnh đối với sự an toàn của các dự án chuỗi cross.

EvoDeFi: Khủng hoảng thanh khoản và sự biến mất của dự án

Vào tháng 6 năm 2022, USDT trên DEX ValleySwap của hệ sinh thái Oasis đã bị mất giá nghiêm trọng, dự kiến gây ra thiệt hại lên tới hàng triệu đô la. Vấn đề xuất phát từ cầu nối Cross-chain EVODeFi mà nó sử dụng có tính thanh khoản không đủ trên chuỗi nguồn.

Quá trình xử lý sự kiện này thật đáng thất vọng, các bên liên quan nhanh chóng rũ bỏ trách nhiệm, phía dự án thực tế đã chọn cách trốn tránh trách nhiệm. Điều này làm nổi bật tầm quan trọng của việc xem xét bối cảnh dự án và khả năng chịu trách nhiệm khi lựa chọn cầu nối Cross-chain.

Horizon：Tranh chấp về rò rỉ khóa riêng và bồi thường cộng đồng

Vào tháng 6 năm 2022, cầu nối Cross-chain Horizon chính thức của Harmony đã bị tấn công, gây thiệt hại gần 100 triệu USD. Cuộc điều tra cho thấy, cuộc tấn công rất có thể là do rò rỉ khóa riêng.

Nhóm Harmony đã đề xuất một kế hoạch bồi thường cho người dùng trong vòng 3 năm bằng cách phát hành thêm token, nhưng không nhận được sự ủng hộ nhất trí từ cộng đồng. Sự kiện này nhấn mạnh tầm quan trọng của việc quản lý khóa riêng, đồng thời phản ánh khó khăn trong việc cân bằng lợi ích của các bên khi xử lý hậu quả của các cuộc tấn công quy mô lớn.

Nomad: Lỗi nâng cấp và việc cộng đồng tự nguyện hoàn trả

Vào tháng 8 năm 2022, Nomad đã bị đánh cắp khoảng 190 triệu USD do một lỗi khởi tạo trong quá trình nâng cấp hợp đồng. Lỗi tưởng chừng đơn giản này cho phép bất kỳ ai có thể rút tiền từ cầu nối Cross-chain.

Đáng chú ý là một số hacker mũ trắng đã bày tỏ sẵn sàng hoàn trả lại tiền, thể hiện khả năng tự làm sạch của cộng đồng. Tuy nhiên, sự kiện này cũng nhắc nhở chúng ta rằng ngay cả một sai sót nhỏ trong việc nâng cấp cũng có thể gây ra hậu quả thảm khốc.

Tóm tắt và Gợi ý

Nhìn lại những sự kiện tấn công lớn này, chúng ta có thể rút ra những điểm sau đây:

1. Kiểm toán kỹ thuật là rất quan trọng: Hầu hết các cuộc tấn công xuất phát từ lỗ hổng hợp đồng hoặc sai sót trong quá trình nâng cấp, nhấn mạnh sự cần thiết của việc kiểm toán mã toàn diện.

2. Cơ chế xác thực đa lớp: Sự cố điểm đơn có thể dẫn đến hậu quả thảm khốc, việc thiết lập cơ chế xác thực an toàn nhiều lớp là rất cần thiết.

3. Khả năng phản ứng nhanh: Phát hiện và xử lý kịp thời các vấn đề an ninh có thể giảm thiểu thiệt hại đáng kể, việc thiết lập cơ chế giám sát và phản ứng khẩn cấp hiệu quả là rất quan trọng.

4. Niềm tin và giao tiếp trong cộng đồng: Trong quá trình xử lý khủng hoảng, duy trì giao tiếp minh bạch với cộng đồng, đưa ra các phương án bồi thường hợp lý là vô cùng quan trọng để duy trì sự phát triển lâu dài của dự án.

5. Yếu tố con người không thể bị xem nhẹ: Ngoài khía cạnh kỹ thuật, cũng cần cảnh giác với các rủi ro an ninh do yếu tố con người như kỹ thuật xã hội mang lại.

6. Dự trữ vốn và bảo hiểm: Có đủ dự trữ vốn hoặc cơ chế bảo hiểm có thể bảo vệ tốt hơn lợi ích của người dùng khi xảy ra sự cố an ninh.

Cầu nối Cross-chain là cơ sở hạ tầng chính kết nối các hệ sinh thái blockchain khác nhau, sự an toàn của nó ảnh hưởng trực tiếp đến sự ổn định của toàn bộ thị trường tiền điện tử. Các nhà phát triển, nhà đầu tư và người dùng nên rút ra bài học từ những sự kiện này và cùng nhau nỗ lực nâng cao tiêu chuẩn an toàn của toàn ngành.