Mạng Bí Mật mất 4,67 triệu đô la do lỗ hổng chuỗi chéo, hành vi tấn công không bị phát hiện trong bảy ngày

Tin tức từ ChainCatcher, tổ chức nghiên cứu blockchain Common Prefix tiết lộ, vào ngày 10 tháng 6, hacker đã lợi dụng lỗ hổng trong hợp đồng cầu nối giữa Secret Network và Axelar để giả mạo khoản tiền gửi và đúc token không có tài sản đảm bảo, sau đó quy đổi ra tiền mặt khoảng 4.67 triệu USD.

Cuộc tấn công kéo dài bảy ngày mà không bị phát hiện, cho đến ngày 17 tháng 6, một giao dịch chuyển tiền liên chuỗi bình thường đã thất bại do tài khoản ký quỹ không đủ tiền, mới phát hiện ra sự bất thường. Nguyên nhân lỗ hổng là do hợp đồng này đã xóa hai hàm quan trọng chịu trách nhiệm xác minh nguồn gốc chuyển tiền khi chuyển mô hình ký quỹ sang mô hình đúc, và từ khi triển khai vào đầu năm 2023 chưa từng được kiểm toán bên ngoài. Secret Network chỉ ra rằng, cơ sở hạ tầng cầu nối Axelar đã không kích hoạt bất kỳ cơ chế giám sát bất thường hoặc tạm dừng khẩn cấp nào trước khi tài sản bị đánh cắp quy mô lớn.

Số tiền bị đánh cắp đã được chuyển qua Osmosis đến Ethereum, và sau khi quy đổi thành ETH trên CoW Protocol, đã được phân tán vào các sàn giao dịch như KuCoin, ChangeNow và HitBTC. Hiện tại khoảng 672,000 USD vẫn đang bị giữ trong ví Axelar của kẻ tấn công. Secret Network đã yêu cầu Axelar đóng băng địa chỉ này, nhưng bị từ chối. Phía Axelar nhấn mạnh, giao thức cốt lõi của họ chưa từng bị ảnh hưởng, hợp đồng bị lợi dụng không phải do Axelar phát triển hoặc bảo trì. Hiện tại Axelar đã vô hiệu hóa các kết nối liên chuỗi liên quan và cho biết đang phối hợp với các sàn giao dịch và cơ quan thực thi pháp luật để theo dõi.