Kẻ tấn công đã rút 10 triệu USD tiền điện tử từ Poly Network – Diễn biến vụ việc như sau

Tóm tắt vụ tấn công

Một hacker có trình độ cao đã khai thác thành công hạ tầng Poly Network và rút gần 10 triệu USD giá trị ETH, dựa trên phân tích chi tiết của công ty bảo mật Beosin. Đây là một sự cố an ninh đặc biệt nghiêm trọng trong hệ sinh thái tài chính phi tập trung (DeFi).

Poly Network, nền tảng đóng vai trò là cầu nối chuỗi chéo giúp chuyển tài sản mượt mà giữa nhiều mạng blockchain, đã xác nhận qua thông báo chính thức đầu tháng 7 rằng họ là nạn nhân mới của một vụ tấn công DeFi. Đáng chú ý, hacker đã tạo ra số token tiền điện tử trị giá tới 34 tỷ USD trên nhiều mạng blockchain.

Ngay sau khi phát hiện vụ tấn công, đội ngũ Poly Network đã tạm thời dừng mọi dịch vụ. Biện pháp phòng ngừa này nhằm ngăn chặn hacker tiếp tục khai thác và bảo vệ tài sản người dùng khỏi các rủi ro tiềm ẩn.

Nhóm kỹ thuật Poly Network xác nhận lỗ hổng cho phép hacker tạo mới 57 loại token trên 10 mạng blockchain khác nhau, bao gồm Ethereum, Metis, Polygon, Avalanche, Heco và nhiều hạ tầng blockchain lớn khác. Việc khai thác đa chuỗi này cho thấy mức độ tinh vi của vụ việc và những điểm yếu tồn tại trong giao thức cầu nối chuỗi chéo.

Sau sự cố, ví của hacker được cho là nắm giữ lượng token trị giá trên 42 tỷ USD. Tuy nhiên, dù số tiền trên lý thuyết rất lớn, hacker gặp khó khăn khi chuyển đổi tài sản tạo mới thành tiền mặt do thiếu thanh khoản trên các sàn phi tập trung và nhiều biện pháp bảo mật từ các mạng blockchain cùng sàn giao dịch liên quan.

Nguyên nhân vụ tấn công

Theo phân tích của chuyên gia Beosin và Dedaub, vụ vi phạm an ninh tại Poly Network xuất phát từ việc đánh cắp khoá riêng của hợp đồng thông minh chính. Đây là phát hiện quan trọng để xác định phương thức hacker sử dụng.

Các chuyên gia bảo mật xác nhận không phát hiện lỗ hổng trong logic hay mã nguồn hợp đồng. Thay vào đó, nguyên nhân nằm ở việc khoá mã hoá điều khiển hoạt động trọng yếu của mạng lưới bị xâm phạm.

Các cuộc điều tra cho thấy hacker đã chiếm quyền kiểm soát khoá riêng của 3/4 ví quản trị điều hành hợp đồng thông minh chính. Các ví này kiểm soát hoạt động cốt lõi của mạng lưới; một khi bị lộ, hacker có được quyền quản trị toàn bộ giao thức. Loại tấn công này đặc biệt nguy hiểm vì hoàn toàn qua mặt các biện pháp bảo mật hợp đồng thông minh thông qua thông tin xác thực hợp lệ.

Cần nhấn mạnh, khoá riêng là cơ chế xác thực tối thượng trong blockchain. Khi bị xâm phạm, hacker có thể thực hiện mọi giao dịch như quản trị viên hợp pháp. Vì thế, bảo mật khoá riêng là yếu tố sống còn đối với mọi giao thức blockchain, đặc biệt các nền tảng xử lý chuyển tài sản chuỗi chéo.

Đến thời điểm báo cáo, đội Poly Network chưa xác nhận hay bác bỏ các cáo buộc liên quan đến sự cố khoá riêng. Việc giữ kín thông tin có thể vì lý do điều tra hoặc tránh tiết lộ thêm lỗ hổng bảo mật.

Nhóm Poly Network cho biết đang phối hợp với các sàn giao dịch tập trung và cơ quan thực thi pháp luật để truy tìm thủ phạm và thu hồi tài sản bị đánh cắp. Cách tiếp cận song song cả kỹ thuật lẫn pháp lý này cho thấy mức độ nghiêm trọng của sự cố.

Để trấn an khách hàng, CEO một sàn giao dịch lớn khẳng định sự cố không ảnh hưởng đến người dùng của họ, đồng thời nhấn mạnh sàn không hỗ trợ nạp tài sản từ mạng Poly Network bị tấn công, giúp người dùng tránh bị liên đới. Thông báo này giúp xoa dịu lo ngại thị trường và khẳng định tầm quan trọng của các biện pháp bảo mật tại các sàn lớn.

Đội Poly Network cũng gửi hướng dẫn khẩn cho các dự án bị ảnh hưởng, yêu cầu rút thanh khoản khỏi các sàn phi tập trung. Người dùng nắm giữ tài sản liên quan cũng được khuyến nghị mở khoá và nhận lại token thanh khoản tương ứng, nhằm hạn chế thiệt hại và ngăn hacker tận dụng thêm thanh khoản.

Đáng chú ý, đội ngũ còn trực tiếp kêu gọi hacker hoàn trả tài sản bị đánh cắp để tránh hậu quả pháp lý. Cách tiếp cận này tuy lạc quan nhưng từng hiệu quả trong lĩnh vực tiền điện tử khi một số hacker tự nguyện trả lại tài sản sau các vụ tấn công.

Vụ tấn công lớn thứ hai vào Poly Network

Đây là lần thứ hai Poly Network bị tấn công an ninh quy mô lớn gần đây, làm dấy lên nhiều nghi vấn về kiến trúc và quy trình bảo mật của nền tảng này.

Tháng 8 năm 2021, một nhóm hacker đã lợi dụng lỗ hổng để lấy gần 611 triệu USD tiền điện tử – một trong những vụ trộm tiền điện tử lớn nhất lịch sử. Sự cố này gây chấn động cộng đồng DeFi và phơi bày rủi ro của các cầu nối chuỗi chéo, vốn ngày càng hấp dẫn hacker tinh vi.

Đặc biệt, vụ tấn công năm 2021 có cái kết bất ngờ khi hacker trả lại gần như toàn bộ tài sản chỉ sau hai ngày – điều chưa từng có trong lĩnh vực bảo mật tiền điện tử. Động thái này khiến nhiều người đoán già đoán non về động cơ của hacker: họ là hacker mũ trắng muốn cảnh báo lỗ hổng hay gặp khó khăn kỹ thuật khi rửa số tiền quá lớn?

Theo các báo cáo bảo mật, nguyên nhân sự cố là do rò rỉ khoá riêng dùng ký thông điệp chuỗi chéo. Điều này cho thấy Poly Network liên tục gặp vấn đề với bảo mật khoá riêng. Cả hai vụ tấn công đều do khoá riêng bị lộ, phản ánh thách thức bảo mật mang tính hệ thống vượt xa vấn đề mã nguồn.

Việc liên tục xảy ra các vụ tấn công lớn trên cùng một nền tảng đặt ra câu hỏi lớn về nền tảng bảo mật của các cầu nối chuỗi chéo. Loại giao thức này, dù không thể thiếu để các blockchain tương tác, lại đối mặt thách thức bảo mật riêng vì phải bảo vệ trên nhiều mạng song song. Mỗi kết nối blockchain lại mở rộng diện tấn công và tạo ra lỗ hổng mới.

Mô hình tấn công lặp lại còn cho thấy cuộc đua giữa chuyên gia bảo mật và hacker trong DeFi chưa bao giờ dừng lại. Khi giao thức nâng cấp bảo vệ, hacker lại sáng tạo phương pháp tấn công mới. Ngành tiền điện tử vẫn đang vật lộn với các thách thức này khi trưởng thành và xây dựng khung bảo mật vững chắc hơn.

Câu hỏi thường gặp

Poly Network là gì và lý do nền tảng này trở thành mục tiêu của hacker?

Poly Network là nền tảng giao dịch chuỗi chéo cho phép chuyển tài sản qua nhiều blockchain. Năm 2021, do lỗ hổng trong hợp đồng thông minh, nền tảng bị hacker tấn công và thiệt hại 610 triệu USD. Thiết kế hợp đồng chưa tốt khiến hệ thống giao dịch chuỗi chéo lộ nhiều điểm yếu nghiêm trọng.

Hacker đã lấy 10 triệu USD tiền điện tử trong vụ tấn công này như thế nào? Đã sử dụng phương pháp kỹ thuật gì?

Kẻ tấn công đã dùng khoá quản trị bị đánh cắp để truy cập kho dự trữ tiền điện tử của Poly Network, rồi chuyển tiền qua Ethereum và nhiều cầu nối blockchain, cho phép dịch chuyển tài sản chuỗi chéo nhanh chóng và phân tán nguồn tiền.

Tài sản của tôi trên Poly Network có an toàn không? Tôi có bị ảnh hưởng không?

Poly Network đã gặp sự cố bảo mật nghiêm trọng. Người dùng bị ảnh hưởng nên kiểm tra tài khoản ngay. Giao thức đã tăng cường bảo mật và bồi thường cho người dùng chịu thiệt hại. Xem chi tiết phục hồi trên các kênh chính thức.

Những rủi ro bảo mật nào tồn tại ở các giao thức cầu nối chuỗi chéo? Người dùng bảo vệ tài sản thế nào?

Cầu nối chuỗi chéo đối mặt rủi ro về hợp đồng thông minh, tấn công trình xác thực, nguy cơ thanh khoản. Người dùng chỉ nên dùng giao thức đã kiểm toán, xác thực địa chỉ hợp đồng, bảo mật khoá riêng và tránh chuyển số lượng lớn cùng lúc để giảm rủi ro.

Có các sự cố bảo mật tương tự nào trên sàn giao dịch tiền điện tử và nền tảng cầu nối chuỗi chéo không? Làm sao phòng tránh?

Các vụ nổi bật gồm hack Mt.Gox, Bitfinex bị tấn công, tài khoản Binance bị xâm nhập. Phòng tránh: dùng sàn có bảo mật mạnh, kích hoạt xác thực hai lớp, chọn nền tảng được quản lý, lưu tài sản trong ví lạnh, cập nhật bảo mật thường xuyên, cân nhắc sàn phi tập trung để kiểm soát tài sản tốt hơn.

Phản hồi chính thức của Poly Network về sự cố này? Có bồi thường không?

Poly Network cam kết bồi thường người dùng bị ảnh hưởng. Nền tảng đã thu hồi tài sản bị đánh cắp và hoàn tất bồi thường cho các nạn nhân trong vụ tấn công.