ZetaChain thừa nhận đã bỏ qua báo cáo về chương trình tìm lỗi trước khi khai thác thành công lỗ hổng trị giá 334.000 đô la.

ZetaChain đã thừa nhận rằng lỗ hổng bảo mật đằng sau vụ tấn công gần đây đã được báo cáo thông qua chương trình tìm lỗi của họ, nhưng đã được xem như hành vi dự kiến.

Theo báo cáo phân tích sự cố được ZetaChain công bố hôm thứ Tư

Sự cố này đã kích hoạt một cuộc xem xét nội bộ về cách thức giao thức đánh giá các báo cáo tìm lỗi, đặc biệt là những báo cáo liên quan đến các đường dẫn tấn công nhiều bước có vẻ vô hại khi xem xét riêng lẻ.

Thông báo này được đưa ra sau một cuộc tấn công hôm Chủ nhật nhắm vào hợp đồng cổng giao dịch xuyên chuỗi của dự án, làm thất thoát khoảng 334.000 đô la Mỹ thông qua chín giao dịch trên Ethereum, Arbitrum, Base và BSC, tất cả đều từ các ví do nhóm phát triển kiểm soát.

ZetaChain tuyên bố rằng không có tiền của người dùng nào bị ảnh hưởng, một điểm mà họ cũng đã nhấn mạnh một ngày trước đó khi tạm dừng các giao dịch xuyên chuỗi trên mạng chính của mình để ngăn chặn sự xâm phạm.

Dữ liệu của DefiLlama trước đó ước tính thiệt hại vào khoảng 300.000 đô la, trong khi ZetaChain cho biết vào thời điểm đó họ sẽ công bố bản phân tích đầy đủ sau khi hoàn tất cuộc điều tra.

Các lỗ hổng kết hợp cho phép rút cạn toàn bộ dữ liệu

ZetaChain cho biết kẻ tấn công đã kết hợp ba điểm yếu thiết kế riêng biệt, mà nếu đứng riêng lẻ thì dường như không nghiêm trọng, nhưng khi kết hợp lại thì đã cho phép khai thác lỗ hổng. Hợp đồng cổng cho phép gửi các lệnh xuyên chuỗi không hạn chế, trong khi phía nhận thực thi gần như bất kỳ lệnh nào trên bất kỳ hợp đồng nào, với danh sách chặn hạn chế không bao gồm các chức năng chuyển token cơ bản.

Các ví hiện có đã tương tác với cổng vẫn giữ quyền phê duyệt token không giới hạn, và các quyền này không bị thu hồi. Bằng cách kết hợp các điều kiện này, kẻ tấn công đã hướng dẫn cổng chuyển token từ các ví đó, và hệ thống đã thực hiện các giao dịch chuyển tiền mà không gặp trở ngại.

“Đây không phải là một cuộc tấn công cơ hội,” ZetaChain cho biết, nêu rõ cách kẻ tấn công đã chuẩn bị trước bằng cách nạp tiền vào ví thông qua Tornado Cash ba ngày trước khi khai thác, triển khai một hợp đồng rút tiền tùy chỉnh trên ZetaChain và chạy một chiến dịch làm nhiễm độc địa chỉ trước khi bắt đầu các giao dịch.

Báo cáo lỗi bị bác bỏ trước khi khai thác

Trong báo cáo sau sự cố, ZetaChain xác nhận rằng vấn đề cốt lõi đã được nêu ra trước đó thông qua chương trình tiền thưởng tìm lỗi của họ nhưng không được coi là mối đe dọa vào thời điểm đó. Nhóm cho biết điều này đã thúc đẩy việc đánh giá lại cách họ xử lý các báo cáo mô tả các tổ hợp tấn công phức tạp thay vì các lỗi riêng lẻ.

“Lỗi này đã được báo cáo và họ chỉ đơn giản là bỏ qua nó,” một người dùng viết trên X, thêm rằng các cấu trúc tiền thưởng tìm lỗi hiện tại thường không thưởng cho các nhà nghiên cứu vì đã xác định được các lỗ hổng trước khi chúng bị khai thác.

Sau sự cố, ZetaChain cho biết họ đã vô hiệu hóa chức năng gọi tùy ý của cổng thông qua một bản vá đang được triển khai cho các nút mạng chính.

Nền tảng này cũng đã loại bỏ việc phê duyệt token không giới hạn khỏi quy trình gửi tiền của mình, thay thế chúng bằng việc phê duyệt số tiền chính xác để giảm rủi ro từ các kiểu tấn công tương tự.

Xem các tin tức mới nhất về bitcoin và thị trường điện tử tại : Tin tức Crypto