Đầu tiên cần hiểu, Blockchain là gì? Blockchain là một cuốn sổ cái phi tập trung, ghi lại các giao dịch dưới dạng số. Với đặc tính khó bị giả mạo hoặc thay đổi, blockchain có thể quản lý tài sản và tiền điện tử, cũng như cho phép triển khai các hợp đồng thông minh, tài chính và các thỏa thuận pháp lý một cách an toàn.
Blockchain đã thúc đẩy sự xuất hiện của các hệ thống tài chính phi tập trung (DeFi). Nhờ sự kết hợp giữa công nghệ phi tập trung và hợp đồng thông minh, DeFi đã trở thành một giải pháp thay thế cho các ngân hàng và dịch vụ tài chính truyền thống.
Các dự án DeFi thường mang đến nhiều cơ hội đầu tư và tiềm năng sinh lợi cao cho nhà đầu tư. Do đó, số lượng dự án DeFi và blockchain đã gia tăng nhanh chóng và trở thành xu hướng trong vài năm gần đây. Tuy nhiên, như một lẽ tất nhiên trong bất kỳ thị trường nào, cơ hội và lợi ích nổi bật thì luôn tồn tại những rủi ro tiềm ẩn.
DeFi, NFT và tiền điện tử đã trở thành mục tiêu phổ biến của các hoạt động tội phạm mạng. Những kẻ xấu tận dụng các lỗ hổng, lỗi logic và lỗi lập trình để thực hiện các hành vi tấn công và chiến dịch lừa đảo, nhằm mục đích đánh cắp tiền điện tử của các nạn nhân tiềm năng.
Các nhà nghiên cứu an ninh mạng Chainalysis đã công bố một báo cáo phân tích về các vụ tấn công crypto nghiêm trọng trong năm 2023. Kết quả cho thấy, số tiền thiệt hại dừng lại ở mức 1,95 tỷ đô la - giảm đáng kể so với con số 3,8 tỷ đô la của năm 2022.
Cũng theo báo cáo của Chainalysis, 3 tháng cao điểm của các cuộc tấn công crypto lần lượt là tháng 3, tháng 9 và tháng 11. Tuy nhiên, tháng 9 và tháng 11 lại ghi nhận số vụ hacking thấp hơn hẳn so với 10 tháng còn lại.
Điều gì đã khiến thị trường Blockchain trong năm 2023 lại có nhiều biến động như vậy? Hãy cùng tìm hiểu qua các case tiêu biểu nhất năm qua.
Có thể bạn quan tâm: Bảo mật blockchain
Multichain
- Mạng blockchain: Ethereum
- Phương thức tấn công: Khai thác kiểm soát truy cập
- Thiệt hại ước tính: $231.000.000
Các tài sản bị khóa trong địa chỉ MPC của Multichain đã được chuyển một cách bất thường sang tài khoản thuộc sở hữu bên ngoài (EOA). Điều này dẫn đến tổn thất đáng kể trên nhiều token bridge khác nhau. Đáng chú ý, Fantom Bridge của Multichain đã mất toàn bộ lượng Wrapped Bitcoin (wBTC), USD Coin (USDC), Tether (USDT) và một loạt altcoin. Dòng tiền chảy ra bất thường tương tự cũng được quan sát thấy trong các hợp đồng bridge Moonriver và Dogecoin của Multichain.
Tài sản được chuyển từ Fantom bridge bao gồm các loại tiền điện tử lớn như DAI, Chainlink (LINK), USDT, wBTC, Wrapped Ethereum (wETH) và USDC. Nguyên nhân có thể do xâm phạm ví đến hack nội bộ.
Euler Finance
- Mạng blockchain: Ethereum
- Phương thức tấn công: Flash Loan Attack
- Thiệt hại ước tính: $196.000.000
Kẻ tấn công đã thực hiện nhiều giao dịch bằng cách sử dụng multi-chain bridge để chuyển tiền từ BNB Smart Chain sang Ethereum. Sau đó triển khai một cuộc tấn công cho vay nhanh, đánh cắp tiền điện tử bao gồm Dai, Wrapped Bitcoin (WBTC), Staked Ethereum (StETH) và USD Coin (USDC) của Circle, với tổng trị giá gần 196 triệu USD.
Số tiền bị đánh cắp đã được gửi vào Tornado Cash, một công cụ trộn tiền điện tử, khiến việc theo dõi và phục hồi trở nên khó khăn.
Mạng Mixin
- Mạng blockchain: Ethereum
- Thiệt hại ước tính: $142.000.000
Kẻ tấn công lợi dụng lỗ hổng dịch vụ đám mây để đánh cắp tiền từ nhiều địa chỉ. Các tài sản bị đánh cắp đã được hoán đổi thành DAI và Ethereum trên ví của kẻ tấn công, với tổng giá trị khoảng 118,66 triệu USD. Ngoài ra, kẻ tấn công đã tích lũy được 891 Bitcoin (BTC), trị giá khoảng 23,38 triệu USD.
Khoản lỗ tổng hợp trên cả chuỗi Ethereum và Bitcoin lên tới khoảng 142 triệu USD, đánh dấu đây là một trong những khoản lỗ đáng kể nhất trong không gian tiền điện tử trong năm.
Poloniex
- Mạng blockchain: Ethereum
- Phương thức tấn công: Khai thác kiểm soát truy cập
- Thiệt hại ước tính: $123.000.000
Kẻ tấn công đã tìm cách khai thác các lỗ hổng trong hệ thống ví của Poloniex, rút tiền trên nhiều chuỗi bao gồm Bitcoin, Ethereum và Tron. Tài sản bị đánh cắp đã được chuyển đổi thành token gốc và chuyển đến địa chỉ EOA mới được tạo.
Justin Sun, chủ sở hữu sàn giao dịch, đã treo thưởng 5% cho hacker và đặt ra thời hạn 7 ngày trước khi liên quan đến cơ quan thực thi pháp luật.
BonqDAO
- Mạng blockchain: Polygon
- Thiệt hại ước tính: $120.000.000
Kẻ tấn công đã thao túng lời Oracle để tăng giá của WALBT, một token được sử dụng trong hệ thống BonqDAO. Điều này cho phép họ mint hơn 100 triệu BEUR (một token trong hệ sinh thái BonqDAO) một cách bất hợp pháp. Sau đó khai thác giá WALBT tăng cao để thanh lý nhiều troves, rút số tiền đáng kể là 113,8 triệu WALBT và 98 triệu BEUR.
Việc khai thác khiến giá trị của các token bị ảnh hưởng giảm đáng kể, với WALBT giảm hơn 50% và BEUR giảm 34%. Để đối phó với cuộc tấn công, giao dịch và thanh khoản đã bị đình chỉ trên BonqDAO để ngăn chặn việc chuyển đổi thêm các token bị đánh cắp. Giao thức cũng tạm thời bị đình chỉ khi nhóm nghiên cứu các giải pháp để người dùng rút tài sản thế chấp còn lại.
Ví Atomic
- Mạng blockchain: Ethereum
- Phương thức tấn công: Khai thác kiểm soát truy cập
- Thiệt hại ước tính: $115.000.000
Việc khai thác liên quan đến kiểm soát truy cập trái phép, dẫn đến việc đánh cắp nhiều loại token khác nhau từ người dùng, bao gồm Bitcoin (BTC), Ether (ETH), Tether (USDT), Dogecoin (DOGE), Litecoin (LTC), Binance Coin (BNB) và Polygon (MATIC). Đáng chú ý, một lượng lớn USDT dựa trên Tron đã bị đánh cắp.
Số tiền bị đánh cắp chủ yếu được chuyển đổi thành Ethereum và được giữ ở nhiều địa chỉ EOA. Sự cố này ảnh hưởng đến chưa đến 1% số người dùng hoạt động hàng tháng, nhưng thiệt hại cho riêng 5 người dùng hàng đầu đã lên tới khoảng 17 triệu USD. Đã có báo cáo về việc tiền bị đánh cắp sau khi cập nhật phần mềm và nạn nhân được yêu cầu gửi thông tin cho các cuộc điều tra đang diễn ra. Ở một chiều hướng tích cực, các chuyên gia trên chuỗi đã giúp giải cứu số tiền trị giá 1,2 triệu USD khỏi tay tin tặc.
HECO
- Mạng blockchain: Ethereum
- Phương thức tấn công: Khai thác kiểm soát truy cập
- Thiệt hại ước tính: $86.284.430
Vụ khai thác xảy ra vào ngày 22 tháng 11 năm 2023, khóa riêng tư của một địa chỉ đặc quyền bị xâm phạm. Điều này cho phép kẻ tấn công rút bất hợp pháp nhiều loại tài sản với tổng trị giá hơn 86 triệu USD, bao gồm Ethereum (ETH), USDT, HBTC, SHIB, UNI, USDC, LINK và TUSD.
Số tiền bị đánh cắp đã được chuyển đến địa chỉ của hacker trong nhiều giao dịch và sau đó được đổi lấy Ethereum trên các sàn giao dịch phi tập trung (DEX). ETH sau đó được phân phối giữa một số địa chỉ.
CoinEx
- Phương thức tấn công: Khai thác kiểm soát truy cập
- Thiệt hại ước tính: $52.847.077
Cuộc tấn công diễn ra vào ngày 12 tháng 9 năm 2023, khóa riêng của ví nóng CoinEx bị xâm phạm. Những kẻ tấn công đã chuyển tiền thành công qua chín mạng blockchain khác nhau đến địa chỉ của chúng.
Tính đến lần cập nhật gần đây nhất, số tiền bị đánh cắp vẫn còn trong địa chỉ của kẻ tấn công.
Vyper
- Mạng blockchain: Ethereum
- Phương thức tấn công: Khai thác Reentrancy
- Thiệt hại ước tính: $50,476,970
Lỗ hổng tồn tại trong các phiên bản 0.2.15 đến 0.3.0 của Trình biên dịch Vyper. Sự cố liên quan đến các khe Khóa Reentrancy riêng biệt trong các hàm add_liquidity và Remove_liquidity trong Curve Pools, được triển khai trong các phiên bản bị ảnh hưởng. Điều này cho phép kẻ tấn công thực hiện một cuộc tấn công reentrancy.
Một số dự án, bao gồm MetronomeDAO, JPEG'd, Alchemix và Curve Pools, đã bị ảnh hưởng, dẫn đến tổng thiệt hại là 50.476.970 USD. Một số khoản tiền với tổng trị giá 6.820.757 USD sau đó đã được trả lại.
KyberSwap
- Mạng blockchain: Ethereum
- Phương thức tấn công: Cuộc tấn công Flash Loan
- Thiệt hại ước tính: $45.275.428
Vào ngày 23 tháng 11 năm 2023, kẻ tấn công đã thực hiện một cuộc tấn công flash loan phức tạp trên KyberSwap. Cuộc tấn công liên quan đến việc thao túng giá và ticks để làm cạn kiệt các nhóm thanh khoản có tính thanh khoản thấp thông qua nhiều giao dịch hoán đổi và thay đổi vị thế chiến lược. Điều này dẫn đến việc tính thanh khoản tăng gấp đôi trong một số trường hợp nhất định, làm cạn kiệt các nhóm một cách hiệu quả.
Kẻ tấn công cũng gửi một tin nhắn trên chuỗi gợi ý về các cuộc đàm phán sau một thời gian tạm dừng. Tổng thiệt hại từ việc khai thác này là khoảng 45 triệu USD.
Viết bởi chuyên gia WhiteHub Tuấn Nguyễn Bá Anh.
Nguồn tham khảo: Chainalysis, De.Fi
