$10M ETH bị đánh cắp biến mất vào Tornado Cash: Những gì vụ tấn công tháng 3 năm 2024 tiết lộ về rủi ro hợp đồng thông minh

Bạn còn nhớ vụ lừa đảo phishing lớn của $24 triệu vào tháng 9 năm 2023 không? Chuyện chưa kết thúc đâu. Vào ngày 21 tháng 3, CertiK phát hiện hacker cuối cùng đã chuyển 3.700 ETH (~$10M theo giá hiện tại) vào Tornado Cash — một dịch vụ trộn tiền nhằm che giấu dấu vết giao dịch. Đây không phải là một hành động ngẫu nhiên. Đây là ví dụ điển hình về cách crypto bị đánh cắp cuối cùng cũng sẽ bị rửa tiền.

Kế hoạch tấn công

Cụ thể là thế này: Một cá mập crypto đã phê duyệt một giao dịch “Tăng giới hạn cho phép” trông có vẻ bình thường. Nghe có vẻ vô hại, đúng không? Sai rồi. Chỉ một lần phê duyệt này đã cho phép hacker rút toàn bộ token ERC-20 trực tiếp từ ví của họ thông qua một hợp đồng thông minh độc hại. Trong hai giai đoạn, kẻ tấn công đã rút được 9.579 stETH và 4.851 rETH từ dịch vụ staking của Rocket Pool.

Dữ liệu của PeckShield cho thấy hacker sau đó đã chuyển đổi số tiền này thành 13.785 ETH + 1,64 triệu DAI, phân tán số tiền qua nhiều ví và sàn giao dịch khác nhau. Đây là một ví dụ điển hình về thủ đoạn rửa tiền.

Phê duyệt token là điểm yếu chí mạng của crypto

Điều đáng sợ là gì? Đây không phải là một sự cố riêng lẻ. Báo cáo của Scam Sniffer cho thấy $47M chỉ trong tháng 2 đã mất do phishing, với 78% trong số đó xảy ra trên Ethereum. Tại sao? Bởi vì phần lớn người dùng không biết rõ họ đang phê duyệt gì khi ký các hợp đồng.

Chỉ vài ngày sau vụ hack này, sàn Dolomite đã bị khai thác qua một hợp đồng cũ — mất 1,8 triệu USD từ những người dùng quên đã cấp quyền từ vài tháng trước. Bài học rút ra là: Mỗi lần phê duyệt token đều là một lối đi phụ cho hacker.

Ánh sáng cuối đường hầm

Không phải tất cả các vụ hack đều kết thúc bằng mất sạch. Đội ngũ LayerSwap đã phát hiện website bị xâm phạm trong vòng vài giờ, hạn chế thiệt hại xuống còn $100K 50 người dùng. Họ còn hoàn tiền cho các nạn nhân — một chiến thắng hiếm hoi trong lĩnh vực an ninh crypto.

Điều này có ý nghĩa gì đối với bạn?

Mô hình tấn công lặp đi lặp lại rõ ràng: hacker không phải lúc nào cũng phá mã code — họ lợi dụng hành vi người dùng. Trước khi phê duyệt bất kỳ hợp đồng nào, hãy tự hỏi: Tôi có biết rõ điều này thực sự làm gì không? Tôi có thể thu hồi quyền sau này không? Tốt hơn hết, hãy sử dụng các công cụ kiểm tra giới hạn địa chỉ trước khi ký bất kỳ điều gì đáng ngờ. Sự khác biệt giữa một quyết định đúng đắn và một thảm họa có thể chỉ là một bước xác minh 30 giây.