Vấn Đề Nguy Hiểm on-chain SUI
Ngày 22 tháng 5, một sự cố đáng báo động xảy ra trong cộng đồng blockchain SUI. Giá trên sàn giao dịch phi tập trung Cetus đột ngột giảm mạnh, và các pools thanh khoản bị rút cạn. Tổng thiệt hại ước tính vượt quá 230 triệu USD. SlowMist, đội ngũ an ninh blockchain nổi tiếng, đã vào cuộc và phát hiện những điều gây sốc.
Nguyên Nhân Cốt Lõi
Theo phân tích của SlowMist, vấn đề nằm ở lỗ hổng trong mã hợp đồng thông minh của Cetus, cụ thể là hàm checked_shlw không phát hiện được tràn trong hàm get_delta_a. Hệ thống tính toán sai lượng Token, nhầm lẫn giữa lượng nhỏ và lượng lớn. Điều này giúp kẻ tấn công lợi dụng khe hở đó để tạo lợi nhuận khổng lồ.
Cách Thức Khai Thác
Kẻ tấn công triển khai cuộc tấn công qua vài bước:
Vay Tức Thời (Flash Loan): Kẻ tấn công vay hơn 10 triệu haSUI Token, làm giá Token này giảm 99,9%.
Thiết Lập Bẫy: Tạo vị trí thanh khoản hẹp khiến hệ thống nghĩ rằng một lượng lớn thanh khoản đang được thêm vào.
Khai Thác Tràn: Sử dụng lỗ hổng tràn, họ tuyên bố thêm lượng thanh khoản hàng nghìn tỷ, nhưng thực ra chỉ có 1 Token.
- Rút Tiền và Lợi Nhuận: Kẻ tấn công rút thanh khoản giả và trả lại khoản vay, chốt lời với 10 triệu haSUI và 5,7 triệu SUI.
Cảnh Báo Tới Các Nhà Phát Triển DeFi
Vụ việc này cho thấy chỉ một lỗi lập trình nhỏ có thể dẫn đến tổn thất lớn, đặc biệt trong các nền tảng DeFi. SlowMist cảnh báo các nhà phát triển DeFi cần kiểm tra kỹ càng các hàm toán học, nhất là những hàm liên quan đến tính toán Token và công thức thanh khoản. Một dòng mã không chính xác có thể dẫn đến hậu quả nghiêm trọng.
