Aptos đã vá một lỗ hổng nghiêm trọng trong MoveVM, với ước tính chi phí khai thác chỉ ở mức vài trăm USD, làm nổi bật rủi ro từ những điểm yếu có thể bị tấn công với nguồn lực rất thấp.
Lỗ hổng nằm ở lớp thực thi cốt lõi của Aptos, nên mức độ ảnh hưởng tiềm năng lớn hơn nhiều so với một lỗi ở riêng từng ứng dụng. Điểm đáng chú ý là sự cố đã được xử lý trước khi có ghi nhận mất mát tài sản hay gián đoạn mạng.
- Lỗ hổng được phát hiện trong MoveVM, thành phần xử lý hợp đồng thông minh trên Aptos.
- Chi phí hạ tầng để tìm và có thể kích hoạt lỗi chỉ vào khoảng 3.000 USD, cho thấy bề mặt tấn công rất rẻ.
- Aptos đã vá lỗi trước khi có xác nhận bị khai thác hay thất thoát tài sản.
Lỗ hổng nằm ở MoveVM của Aptos
MoveVM là lớp thực thi hợp đồng thông minh của Aptos, và lỗ hổng ở đây có thể ảnh hưởng đến cách mạng xử lý giao dịch và trạng thái. Đây là thành phần hạ tầng cốt lõi, nên một lỗi ở cấp này thường đáng lo hơn lỗi ở từng dApp riêng lẻ.
Một bản phân tích kỹ thuật của Hexens cho biết lỗi đã được phát hiện qua quy trình công bố có trách nhiệm. CoinDesk cũng cho biết nhóm nghiên cứu dùng một máy chủ khoảng 3.000 USD để tìm ra lỗ hổng có thể khiến tài sản crypto trị giá hàng tỷ USD gặp rủi ro.
Vì sao chi phí khai thác thấp lại đáng chú ý?
Chi phí khai thác thấp làm thay đổi đáng kể cách nhìn về rủi ro an ninh. Một lỗi có thể bị khai thác với vài trăm USD không còn là mối đe dọa chỉ dành cho các tác nhân có nguồn lực lớn.
Khi rào cản kỹ thuật và tài chính cùng thấp, số lượng đối tượng có thể thử khai thác tăng lên. Điều đó khiến khoảng thời gian từ lúc phát hiện đến lúc vá lỗi trở nên đặc biệt quan trọng.
Rủi ro cũng tăng nếu thông tin về cách khai thác lan ra trước khi bản vá được triển khai rộng rãi. Trong trường hợp này, việc xử lý kịp thời là yếu tố quyết định để tránh thiệt hại thực tế.
Aptos đã xử lý sự cố trước khi có tổn thất
Aptos đã vá lỗ hổng trước khi ghi nhận mất tiền hay bị xâm phạm mạng lưới. Trang an ninh của Aptos cũng nêu cách mạng lưới quản lý lỗ hổng, bao gồm chương trình bug bounty để khuyến khích công bố có trách nhiệm.
Việc khắc phục sớm giúp sự cố này nghiêng về phía một ca xử lý an ninh thành công hơn là một vụ tấn công đã diễn ra. Với người dùng đang nắm giữ tài sản trên Aptos, chưa có dấu hiệu nào cho thấy cần hành động đặc biệt ngoài các biện pháp an toàn thông thường.
Tác động đối với người dùng, nhà phát triển và validator
Sự cố này nhắc rằng validator phải cập nhật phần mềm nhanh khi có bản vá mới. Nếu lỗ hổng nằm ở MoveVM, tác động tiềm tàng không chỉ dừng ở một ứng dụng mà có thể chạm tới xử lý giao dịch và tính toàn vẹn trạng thái.
Với nhà phát triển, một hợp đồng thông minh được viết cẩn thận vẫn có thể bị ảnh hưởng nếu lớp thực thi bên dưới gặp lỗi. Do đó, an ninh của blockchain không chỉ nằm ở mã ứng dụng mà còn ở hạ tầng nền.
Aptos gần đây cũng trải qua một số thay đổi quản trị, gồm đề xuất trần 2,1 tỷ và điều chỉnh gas gấp 10 lần, cùng việc hạ tỷ lệ thưởng staking xuống 2,6% trong lúc tăng phí gas. Trong bối cảnh đó, độ tin cậy của lớp VM càng trở nên quan trọng.
Những câu hỏi thường gặp
Lỗ hổng Aptos đã bị khai thác trước khi vá chưa?
Chưa có xác nhận về việc bị khai thác. Lỗ hổng được phát hiện bởi các nhà nghiên cứu an ninh và được vá trước khi ghi nhận hành vi sử dụng độc hại.
Vì sao mức chi phí khai thác ước tính lại quan trọng?
Vì chi phí thấp cho thấy lỗi có thể nằm trong tầm với của nhiều kẻ tấn công, không chỉ những đối tượng có ngân sách lớn. Điều này làm rủi ro thực tế cao hơn nhiều so với nhìn nhận từ mức độ kỹ thuật đơn thuần.
Lỗ hổng nằm ở đâu trong hệ thống Aptos?
Lỗ hổng nằm trong MoveVM, lớp thực thi hợp đồng thông minh của Aptos. Đây là thành phần hạ tầng cốt lõi nên có thể ảnh hưởng rộng hơn một ứng dụng đơn lẻ.
Người dùng Aptos có cần làm gì ngay không?
Hiện chưa có dấu hiệu cho thấy người dùng cần hành động khẩn cấp. Bản vá đã được triển khai ở cấp mạng, nhưng người dùng vẫn nên duy trì các biện pháp bảo mật cơ bản.
Tổng kết
Aptos đã xử lý một lỗ hổng nghiêm trọng trong MoveVM trước khi xảy ra thiệt hại, nhưng mức chi phí khai thác thấp cho thấy rủi ro an ninh ở lớp hạ tầng blockchain vẫn rất đáng theo dõi.
