BlockSec Phalcon phát hiện một giao dịch đáng ngờ trên BSC nhắm vào hợp đồng Stake chưa xác định, gây thiệt hại khoảng 133.000 USD do bị khai thác lỗ hổng phụ thuộc giá giao ngay.
Sự cố xảy ra khi kẻ tấn công thao túng giá TUR trong pool TUR-NOBEL trước khi staking, khiến cơ chế tính thưởng bị kích hoạt sai và tạo lợi nhuận bất chính, sau đó quy đổi sang stablecoin để chốt lời.
- BSC ghi nhận vụ khai thác hợp đồng Stake, thiệt hại khoảng 133.000 USD.
- Lỗ hổng liên quan phụ thuộc spot price; giá TUR bị bơm trong pool TUR-NOBEL.
- Thưởng bị khuếch đại qua tài khoản giới thiệu, TUR bị đổi sang USDT.
Diễn biến vụ tấn công và thiệt hại
Giao dịch đáng ngờ trên BSC dẫn đến thất thoát khoảng 133.000 USD, nhắm vào một hợp đồng Stake chưa xác định.
Hệ thống giám sát BlockSec Phalcon ghi nhận giao dịch vào ngày 27/3. Theo mô tả, kẻ tấn công tận dụng điểm yếu trong cách hợp đồng Stake phụ thuộc vào giá giao ngay (spot price) để tính toán phần thưởng.
Tâm điểm là token TUR trong pool TUR-NOBEL: giá TUR bị thao túng tăng trước khi kẻ tấn công thực hiện staking TUR. Mức giá bị thổi phồng làm thay đổi đầu vào của cơ chế tính thưởng, từ đó tạo cơ sở để rút phần thưởng vượt mức.
Cách khai thác: thao túng giá, khuếch đại thưởng, đổi sang stablecoin
Kẻ tấn công thao túng giá TUR rồi staking để kích hoạt tính thưởng theo giá bị bơm, sau đó nhận thưởng khuếch đại qua các tài khoản giới thiệu.
Chuỗi hành vi được mô tả gồm: (1) thao túng spot price của TUR trong pool TUR-NOBEL, (2) staking TUR vào hợp đồng Stake khi giá đã bị thổi phồng, (3) kích hoạt tính toán phần thưởng dựa trên mức giá bất thường, (4) nhận phần thưởng bị khuếch đại thông qua referral accounts.
Số TUR chiếm đoạt cuối cùng được chuyển đổi sang USDT để thu lợi. Nội dung gốc không nêu địa chỉ ví, tên dự án hợp đồng Stake, hay tổng lượng TUR/USDT cụ thể ngoài ước tính thiệt hại khoảng 133.000 USD.
