Chi tiết về dòng tiền: Tấn công 3,9 triệu đô sau khi lỗ hổng Cadence cho phép nhân bản token

Nguồn: DefiPlanet Tiêu đề gốc: Chi tiết về vụ khai thác $3.9M sau lỗi Cadence cho phép nhân bản token Liên kết gốc:

Phân tích nhanh

• Một lỗi trong môi trường thực thi Cadence đã cho phép nhân bản token, dẫn đến thiệt hại xác nhận khoảng $3.9 triệu.
• Không có số dư người dùng nào bị rút sạch; phần lớn tài sản giả đã bị đóng băng trước khi thanh lý.
• Flow đã vá lỗi và triển khai các biện pháp an ninh và giám sát chặt chẽ hơn.

Chi tiết kỹ thuật

Quỹ Flow đã phát hành bài phân tích hậu sự cố giải thích về một lỗ hổng ở cấp độ giao thức cho phép kẻ tấn công làm giả token trên mạng, gây thiệt hại ước tính khoảng $3.9 triệu trước khi vụ việc được kiểm soát.

Lỗ hổng này, xảy ra vào ngày 27 tháng 12, bắt nguồn từ một lỗi trong môi trường thực thi Cadence của Flow cho phép một số tài sản được nhân bản thay vì được mint đúng cách. Điều này đã bỏ qua các kiểm soát cung cấp nhưng không liên quan đến rút hoặc truy cập vào số dư người dùng hiện có.

Các trình xác thực đã phát hiện hoạt động độc hại và phối hợp tạm dừng mạng trong vòng sáu giờ kể từ giao dịch khai thác đầu tiên. Trong thời gian tạm dừng, chuỗi khối đã được đặt trong trạng thái chỉ đọc để ngăn chặn việc nhân bản tài sản thêm, trong khi các đối tác sàn giao dịch lớn đã đóng băng phần lớn token giả trước khi chúng có thể được bán.

Flow cho biết hoạt động bình thường đã được khôi phục sau hai ngày theo quá trình “khôi phục cô lập” nhằm bảo vệ lịch sử giao dịch hợp lệ và cho phép phục hồi cũng như tiêu hủy vĩnh viễn các tài sản giả thông qua sự chấp thuận của quản trị.

Quỹ nhấn mạnh rằng không có quỹ người dùng nào bị đánh cắp, vì lỗ hổng liên quan đến nhân bản chứ không phải loại bỏ tài sản. Một số tài khoản tương tác với token giả đã bị hạn chế tạm thời, trong khi hơn 99% người dùng vẫn giữ quyền truy cập đầy đủ trong suốt quá trình phục hồi.

Vá lỗi bảo mật và các biện pháp trong tương lai

Trong khi kẻ tấn công đã tạo ra một lượng lớn token giả trên chuỗi, Flow cho biết phần lớn đã bị kiểm soát hoặc đóng băng trước khi có thể thanh lý.

Lỗ hổng cơ bản đã được vá, với Quỹ giới thiệu các kiểm tra môi trường thực thi nghiêm ngặt hơn, mở rộng kiểm tra hồi quy và các công cụ giám sát nâng cao. Flow cũng đang hợp tác với các chuyên gia pháp y và cơ quan thực thi pháp luật, đồng thời cam kết các chương trình thưởng lỗi và củng cố an ninh mạnh mẽ hơn trong tương lai.

Bối cảnh thị trường

Flow được ra mắt bởi Dapper Labs vào năm 2019 để hỗ trợ các ứng dụng blockchain hướng đến người tiêu dùng, nhanh chóng thu hút sự chú ý qua NBA Top Shot, giúp đẩy giá token FLOW vượt qua $40 trong đợt bùng nổ NFT năm 2021.

Dự án đã huy động khoảng $725 triệu đô la trong năm 2022 từ các nhà đầu tư, bao gồm Andreessen Horowitz và Union Square Ventures, nhưng đà phát triển chậm lại khi hoạt động NFT giảm sút. Kể từ đó, FLOW đã rơi ra khỏi top 300 loại tiền điện tử theo vốn hóa thị trường.