Lỗ hổng ZetaChain đã bị các hacker mũ trắng báo cáo trước nhưng bị bỏ qua, cuối cùng dẫn đến vụ tấn công trị giá 334.000 USD

BlockBeats Tin tức, ngày 29 tháng 4, giao thức chéo chuỗi ZetaChain tiết lộ rằng vụ tấn công lỗ hổng khoảng 334.000 USD gần đây đã được các nhà nghiên cứu báo cáo trước trong chương trình thưởng lỗ hổng, nhưng vào thời điểm đó đã bị phía dự án xem là “hành vi dự kiến” và không xử lý. Theo báo cáo tổng kết sự cố chính thức, vụ tấn công này bắt nguồn từ sự kết hợp của ba thiếu sót thiết kế ban đầu tưởng chừng độc lập và có rủi ro thấp:

Hợp đồng Gateway cho phép bất kỳ ai gửi lệnh chéo chuỗi tùy ý;
Phía nhận gần như có thể thực thi gọi bất kỳ hợp đồng nào, và danh sách đen hạn chế quá mức;
Một số ví lâu dài giữ quyền ủy quyền vô hạn (Unlimited Approval) chưa được xóa bỏ.

Kẻ tấn công cuối cùng đã kết hợp các thiếu sót này, chỉ đạo Gateway chuyển trực tiếp token vào địa chỉ kiểm soát của họ, từ đó hoàn tất chuyển tài sản. ZetaChain cho biết, vụ tấn công này liên quan đến 9 giao dịch trên bốn chuỗi Ethereum, Arbitrum, Base và BSC, số tiền bị đánh cắp đều đến từ ví do ZetaChain kiểm soát, và quỹ người dùng không bị ảnh hưởng.

Phía chính thức cho rằng, vụ tấn công này có tính chất rõ ràng có chủ đích. Kẻ tấn công đã nạp tiền vào ví qua Tornado Cash ba ngày trước khi phạm tội, đồng thời đã triển khai hợp đồng Drainer riêng biệt, và còn thực hiện tấn công ô nhiễm địa chỉ (Address Poisoning).

Hiện tại, ZetaChain đã bắt đầu gửi bản vá sửa lỗi đến các nút mạng chính, vô hiệu hóa vĩnh viễn chức năng gọi tùy ý (arbitrary call), và đã thay đổi cơ chế ủy quyền vô hạn trong quy trình gửi tiền thành “ủy quyền chính xác theo hạn mức”.