Fusion (by IPOR) xác nhận Fusion USDC optimizer Vault trên Arbitrum bị tấn công hợp đồng thông minh ngày 6/1, gây thiệt hại 336.000 USDC.
Kẻ tấn công khai thác lỗ hổng thiếu kiểm tra hợp lệ trong logic fuse của phiên bản Vault cũ và lạm dụng cơ chế EIP-7702 để thao túng quyền quản trị, chèn module độc hại rồi rút tiền chuyển vào Tornado.Cash.
Diễn biến vụ tấn công và số tiền thất thoát
Vụ tấn công xảy ra ngày 6/1, làm mất 336.000 USDC từ Fusion USDC optimizer Vault trên Arbitrum.
Theo thông báo chính thức từ Fusion (by IPOR), kẻ tấn công nhắm vào một phiên bản Vault cũ và thực hiện rút tiền sau khi đưa logic độc hại vào hệ thống. Số tiền bị rút được chuyển sang Tornado.Cash.
Sự cố được mô tả là một cuộc tấn công hợp đồng thông minh, trong đó đối tượng tấn công đạt được quyền thao tác quản trị để can thiệp vào cơ chế vận hành. IPOR cho biết sự việc đã được xác nhận và đã công bố bản tổng kết kỹ thuật đầy đủ.
Nguyên nhân, phạm vi ảnh hưởng và kế hoạch bồi thường
Lỗ hổng đến từ thiếu validation trong logic fuse của phiên bản Vault cũ, kết hợp lạm dụng đặc quyền EIP-7702 để nâng quyền quản trị.
Kẻ tấn công khai thác missing validation trong fuse logic của một phiên bản Vault cũ, sau đó dùng EIP-7702 để thao túng quyền quản trị, chèn các module logic độc hại và khởi tạo giao dịch rút tiền. IPOR xác định đây là sự kết hợp giữa lỗi logic và hành vi lạm dụng đặc quyền EIP-7702.
IPOR cho biết lỗ hổng chỉ ảnh hưởng Vault cũ được triển khai cách đây 490 ngày; các vault khác không bị tác động. DAO sẽ dùng tài chính của DAO để bồi thường cho người dùng bị thiệt hại, đồng thời phối hợp các nhóm bảo mật gồm SEAL, Hexagate và Blockaid để truy vết dòng tiền.
