Khoản lỗ của vụ hack Multichain tăng lên 3 triệu đô la sau ‘cách tồi tệ nhất để xử lý lỗ hổng bảo mật’

Hack và lừa đảo trong ngành công nghiệp tiền điện tử lấy 14 tỷ đô la từ người dùng vào năm 2021, theo một báo cáo gần đây. Trong khi nhiều người hy vọng năm mới sẽ không mang lại nhiều tin xấu, có vẻ như đây chỉ là sự khởi đầu.

Lớp cơ sở

Giao thức bộ định tuyến chuỗi chéo Multichain (trước đây là Anyswap) hiện đang thịnh hành, mặc dù vì tất cả những lý do sai lầm.

2 / Nếu bạn đã từng chấp thuận bất kỳ mã thông báo nào trong số 6 mã thông báo này, vui lòng đăng nhập https://t.co/S9nDfrM1eO càng sớm càng tốt để thu hồi các phê duyệt, nếu không, tài sản của bạn sẽ gặp rủi ro.

– Multichain (Trước đây là Anyswap) (@MultichainOrg) 17 tháng 1, 2022

Vào ngày 17 tháng 1, Giao thức Cầu Multichain phát hiện ra một lỗi hay đúng hơn là một lỗ hổng nghiêm trọng trên mạng của nó. Công ty bảo mật Dedaub báo cáo đối với Multichain mà người dùng đã phê duyệt quyền cho WETH, PERI, OMT, WBNB, MATIC và AVAX trên bộ định tuyến bắc cầu của Multichain có nguy cơ bị tin tặc rút tiền của họ. Vào thời điểm đó, để tránh thua lỗ, nhóm Multichain khuyên người dùng hủy bỏ tất cả các phê duyệt được cấp cho các mã thông báo được chỉ định.

Trên thực tế, Multichain được phát hành hướng dẫn từng bước về cách người dùng có thể dễ dàng hủy bỏ phê duyệt. Hơn nữa, blog đã báo cáo rằng tất cả nội dung trên Cầu V2 và Bộ định tuyến V3 của nó đều an toàn. Người dùng có thể thực hiện các giao dịch xuyên chuỗi như bình thường.

Tuy nhiên, sau đó, công ty bảo mật Blockchain PeckShield đã điều tra giao thức bị ảnh hưởng. Theo điều tra của nó, tổng số 445 WETH (> 1,4 triệu đô la) bị ảnh hưởng.

Nhiều hơn trên đường

Chà, đó là những gì tin tặc nghĩ về tình huống này. Tình tiết nói trên đã có một bước ngoặt thú vị. Tin tặc tiếp tục khai thác lỗ hổng trong cầu nối xuyên chuỗi Multichain.

Trên thực tế, họ đã tiếp tục đánh cắp khoảng 3 triệu đô la tiền điện tử, theo một báo cáo bởi Vice. Gọi cho biến cố “Cách tồi tệ nhất để điều trị một lỗ hổng bảo mật”, Franceschi-Bicchierai của Vice đã tweet,

“Vụ tấn công chống lại người dùng Multichain tiếp tục trở nên tồi tệ hơn.”

Theo Tal Be’ery, người đồng sáng lập ví ZenGo, số tiền bị đánh cắp lên tới,

Các @MultichainOrg hack còn lâu mới kết thúc.
Trong những giờ qua, hơn 1 triệu đô la bị đánh cắp, nâng tổng số tiền bị đánh cắp lên 3 đô la.
Một nạn nhân đã mất $ 960K!https://t.co/fYhYxUojB8 pic.twitter.com/Gvh5hB6t6s

– Tal Be’ery (@TalBeerySec) Ngày 19 tháng 1 năm 2022

Chao ôi, không phải vậy đâu. Các báo cáo khác nhau hiện đã xuất hiện tín hiệu về sự thiếu minh bạch từ phía giao thức bị ảnh hưởng. Ví dụ: hãy xem xét điều này – nhà bình luận Chainlink và máy chủ podcast ChainLinkGod.eth 2.0 đã cảnh báo như vậy trong một tweet. Anh ấy đã bao gồm ảnh chụp màn hình từ một Medium bài đăng chỉ ra rằng “tiền an toàn và không an toàn đồng thời”.

Tôi không thể là người duy nhất vô cùng bối rối trước @MultichainOrgtin nhắn của ở đây

Các quỹ của Schrodinger, đồng thời an toàn và không an toàn pic.twitter.com/AW8s8aAhHk

– ChainLinkGod.eth 2.0 (@ChainLinkGod) Ngày 19 tháng 1 năm 2022

Ngoài ra, “drarreg17” yêu cầu Multichain sẽ làm gì để “bồi thường cho những người dùng như tôi, những người đã bị ảnh hưởng bởi các vụ khai thác?” Tuy nhiên, giao thức vẫn chưa trả lời yêu cầu.

Đáng chú ý là mặc dù công ty đã liên hệ đến địa chỉ ban đầu đã giữ hơn 450 ETH trong các khoản tiền bị đánh cắp kể từ ngày 17 tháng 1. Hơn nữa, dự án còn cung cấp cho hacker / tin tặc một khoản tiền thưởng lỗi “cho những lần khai thác”.

Có vẻ như @MultichainOrg liên hệ với những kẻ tấn công cung cấp cho họ “tiền thưởng” (hay nói cách khác, thực sự trả tiền chuộc)https://t.co/DzUGUF3vX0 https://t.co/iKLh0HCBXG pic.twitter.com/yC3QEeiZhJ

– Tal Be’ery (@TalBeerySec) 18 tháng 1 năm 2022

Không phải tất cả đều u ám

Tuần trước, nhóm Multichain công bố rằng khối lượng giao dịch hàng ngày của nó đã vượt qua 500 triệu đô la, nhờ vào việc mọi người chuyển tiền của họ vào mạng Fantom. Trong khi đó, theo Defi Lama, giao thức xử lý > Tài sản trị giá 9 tỷ đô la trên 14 blockchain khác nhau.

Vâng, một điều rõ ràng. Với chỉ số TVL, giao thức cần trả lại nhanh hơn và tránh mất thêm tiền.