Lỗ hổng token giả của Flow bị phát hiện! Giảm 40% trong 5 giờ, thiệt hại 3,9 triệu USD

Flow quỹ ban tiết lộ thiệt hại 3,9 triệu USD do lỗ hổng cấp giao thức xảy ra vào ngày 27 tháng 12. Kẻ tấn công lợi dụng lỗi trong Cadence để sao chép tài sản thay vì trộm cắp, và các xác thực viên đã tạm dừng mạng trong vòng 6 giờ. FLOW giảm 40% trong 5 giờ, từ 40 USD xuống còn 0.075 USD. Flow được Dapper Labs sáng lập, từng nhận đầu tư 725 triệu USD từ a16z.

Phân tích lỗ hổng kỹ thuật trong lớp giao thức sao chép token

Flow Foundation ngày thứ Ba đã phát hành một báo cáo phân tích kỹ thuật chi tiết về sự kiện lỗ hổng cấp giao thức xảy ra vào ngày 27 tháng 12. Kẻ tấn công đã khai thác lỗ hổng trong môi trường chạy Cadence của Flow, cho phép sao chép một số tài sản thay vì đúc, qua đó vượt qua kiểm soát cung ứng mà không cần truy cập hoặc tiêu thụ số dư của người dùng hiện có.

Phương thức tấn công này cực kỳ hiếm trong lịch sử an ninh blockchain. Các cuộc tấn công hacker truyền thống thường là trộm chìa khóa riêng hoặc khai thác lỗ hổng hợp đồng thông minh để chuyển tài sản của người dùng, nhưng lỗ hổng của Flow cho phép kẻ tấn công “sao chép” token như photocopy tiền giấy. Vì việc tấn công sao chép tài sản chứ không lấy cắp từ tài khoản, nên không ảnh hưởng đến số dư của người dùng hiện có. Tính năng này khiến lỗ hổng ban đầu khó phát hiện, vì người dùng không nhận thấy số tiền trong ví của mình giảm.

Trong vòng sáu giờ sau giao dịch độc hại đầu tiên, các xác thực viên đã phối hợp tạm dừng hoạt động mạng, và các đối tác sàn giao dịch đã phong tỏa trước khi phần lớn tài sản giả mạo bị bán ra. Flow cho biết, lần tạm dừng này đã đặt mạng ở chế độ chỉ đọc để cắt đứt các đường thoát và ngăn chặn sao chép dữ liệu thêm, đồng thời tiến hành điều tra vấn đề.

Hai ngày sau, hoạt động đã phục hồi theo một kế hoạch “cách ly khôi phục”, giữ lại các bản ghi giao dịch hợp pháp và ủy quyền thu hồi, tiêu hủy vĩnh viễn các tài sản giả mạo qua quy trình được quản lý phê duyệt. Mặc dù kẻ tấn công đã tạo ra một lượng lớn token giả trên chuỗi, Flow cho biết phần lớn token giả đã bị kiểm soát hoặc phong tỏa trước khi thanh lý. Như một biện pháp phòng ngừa, một số tài khoản đã tương tác với token giả tạm thời bị hạn chế truy cập, trong khi hơn 99% tài khoản vẫn duy trì quyền truy cập đầy đủ trong và sau quá trình phục hồi.

Dòng thời gian và quy trình xử lý sự kiện lỗ hổng Flow

Ngày 27 tháng 12 – Giao dịch tấn công đầu tiên: Hacker khai thác lỗ hổng Cadence để bắt đầu sao chép token

Trong vòng 6 giờ – Tạm dừng mạng: Các xác thực viên phối hợp chuyển sang chế độ chỉ đọc, cắt đứt đường tấn công

Trong vòng khẩn cấp – Phong tỏa sàn giao dịch: Đối tác phong tỏa trước khi phần lớn token giả được bán

Hai ngày sau – Phục hồi cách ly: Giữ lại các giao dịch hợp pháp, tiêu hủy tài sản giả, 99% tài khoản không bị ảnh hưởng

Từ 40 USD xuống 0.075 USD – Đà giảm dài hạn

(Nguồn: CoinGecko)

Dapper Labs, dự án token không đồng nhất CryptoKitties, đã công bố vào tháng 9 năm 2019 về việc phát triển Flow, một blockchain lớp 1 mới nhằm giải quyết các thách thức mở rộng cho các ứng dụng tiêu dùng như trò chơi và sưu tập kỹ thuật số. Thành công ban đầu của NBA Top Shot (nền tảng NFT dùng để giao dịch các đoạn video NBA chính thức) đã giúp blockchain Flow thu hút sự chú ý chính thống vào năm 2020 và 2021.

Trong bối cảnh đó, theo dữ liệu của CoinGecko, token FLOW của mạng lưới này đã tăng vọt lên trên 40 USD vào năm 2021. Đà phát triển của Flow tiếp tục kéo dài đến năm 2022, dự án huy động khoảng 725 triệu USD từ các nhà đầu tư như Andreessen Horowitz (a16z) và Union Square Ventures để hỗ trợ phát triển hệ sinh thái. Sự hậu thuẫn của các tổ chức hàng đầu này khiến Flow từng được xem là vua trong hạ tầng NFT.

Khi thị trường NFT dần nguội lạnh trong những năm sau, token FLOW cũng mất đà phát triển, rơi khỏi top 300 đồng tiền mã hóa theo giá trị vốn hóa. Sau vụ tấn công ngày 27 tháng 12, giá FLOW giảm nhanh hơn, mất khoảng 40% trong vòng năm giờ. Giá token đã từng giảm xuống mức thấp 0.075 USD vào ngày 2 tháng 1, rồi bắt đầu hồi phục. Theo dữ liệu của Cointelegraph, tính đến thời điểm viết bài, giá giao dịch gần 0.10 USD, tăng khoảng 16% trong 24 giờ qua.

Từ 40 USD xuống còn 0.075 USD – mức giảm hơn 99.8%, mức sụp đổ này còn cực đoan trong thị trường crypto. Suy thoái của Flow phản ánh khó khăn chung của lĩnh vực hạ tầng NFT, khi cơn sốt đầu cơ qua đi, các dự án thiếu ứng dụng thực tế nhanh chóng bị thị trường bỏ rơi.

Sửa chữa lỗ hổng và các biện pháp tăng cường an ninh trong tương lai

Quỹ ban cho biết đã khắc phục lỗ hổng nền tảng, tăng cường kiểm tra trong thời gian chạy, mở rộng kiểm thử hồi quy để ngăn chặn các cuộc tấn công tương tự. Họ cũng hợp tác với các đối tác chứng cứ và cơ quan pháp luật, dự kiến tăng cường giám sát và chương trình thưởng lỗ hổng như một phần của các biện pháp củng cố an ninh toàn diện.

Phản ứng an ninh toàn diện này là cần thiết, nhưng cũng phơi bày các thiếu sót trong thiết kế ban đầu của Flow. Cadence, ngôn ngữ hợp đồng thông minh cốt lõi của Flow, có lỗ hổng cho phép sao chép tài sản, cho thấy các điểm mù trong kiểm toán mã và kiểm thử an ninh. Đối với một blockchain đã hoạt động nhiều năm, xử lý hàng trăm triệu USD giao dịch, việc xuất hiện lỗ hổng cấp giao thức như vậy là cực kỳ hiếm và nghiêm trọng.

Việc tăng cường chương trình thưởng lỗ hổng là tín hiệu tích cực, nhưng niềm tin của nhà đầu tư đã bị tổn thương. Flow cần xây dựng lại niềm tin qua các cuộc kiểm tra an ninh liên tục, báo cáo minh bạch về sự cố và duy trì hồ sơ không có lỗ hổng. Trong thị trường Layer-1 cạnh tranh khốc liệt hiện nay, một sự cố an ninh lớn có thể gây hậu quả chết người.