Thật không thể tin được! Cosmos công bố bản vá nguy hiểm nhưng không thông báo trước, hacker đã nhanh chóng "rút ruột" kho bạc của dự án

Tác giả: 谷昱, ChainCatcher

Trong vài ngày qua, hệ sinh thái Cosmos đã diễn ra một "thảm họa an ninh" có thể tránh được. Các blockchain như MANTRA, TAC, KiiChain, Nesa sử dụng mô-đun EVM của Cosmos đã lần lượt bị tấn công, các token dự trữ trong ví kho của các chuỗi này đã bị hacker đánh cắp hàng loạt và nhanh chóng bị bán tháo, dẫn đến việc các token như KII, TAC, NES giảm hơn 90% chỉ trong vài giờ, khiến nhiều người nắm giữ chịu thiệt hại nặng nề.

Ban đầu, thị trường không chú ý đến các yếu tố chung đứng sau chuỗi sự cố này - tất cả đều là blockchain của hệ sinh thái Cosmos, vì sự kiện tấn công hacker trong thị trường tiền điện tử đã trở nên phổ biến. Nhưng cho đến hôm qua, thị trường mới nhận ra rằng chuỗi sự cố này đều xuất phát từ mã nâng cấp phiên bản v0.7.2 được Cosmos Labs phát hành trên Github vào ngày 19 tháng 8.

Cosmos Labs đã viết trên trang GitHub này: "Phiên bản này chứa các bản sửa lỗi an ninh quan trọng. Chúng tôi khuyên tất cả các chuỗi nên nhanh chóng nâng cấp lên phiên bản vá này bằng cách sử dụng phương pháp nâng cấp phối hợp. Lần phát hành này có ý nghĩa mang tính cách mạng." Sự khẩn trương trong ngôn từ phản ánh mức độ nghiêm trọng của lỗ hổng này.

Tuy nhiên, hành động của Cosmos Labs lại gây khó hiểu: họ công khai hoàn toàn bản vá an ninh nhưng không đồng thời gửi bất kỳ cảnh báo riêng tư hoặc thông báo nâng cấp bắt buộc nào đến các nhóm dự án phụ thuộc vào mô-đun này. Điều này tương đương với việc treo chìa khóa kho bạc ở quảng trường công cộng và ghi chú "Xin hãy lấy ngay", những kẻ có ý đồ xấu sẽ có đủ thời gian để nghiên cứu và thực hiện tấn công.

"Nếu kẻ tấn công có thể đọc GitHub, các nhóm hạ nguồn cần thứ gì đó tốt hơn GitHub. Lỗ hổng luôn xảy ra. Tiêu chí đánh giá cơ sở hạ tầng doanh nghiệp là mọi thứ xảy ra sau khi lỗ hổng xảy ra: ai bị lộ, ai nhận được cảnh báo, ai nhận được bản vá, và ai hành động trước, khách hàng hay kẻ tấn công. Chúng tôi cần báo cáo phân tích đầy đủ của Cosmos Labs sau sự cố. Nhưng điều này không thể che đậy: sự phối hợp đã thất bại rất nghiêm trọng." nhà phát triển @justde cho biết.

KiiChain bị tấn công cũng đã đăng bài chỉ trích trực tiếp sự thiếu trách nhiệm của Cosmos Labs và cho biết sự cố này "hoàn toàn có thể tránh được".

KiiChain cho biết, khi Cosmos Labs phát hành thông báo vào thứ Sáu, họ đã gộp bản sửa lỗi với một loạt vấn đề không liên quan mà trước đó đã được xử lý riêng tư. Vào thời điểm đó, họ không coi đây là một vấn đề cực kỳ khẩn cấp như một lỗ hổng nghiêm trọng có thể dẫn đến mất mát tài sản vĩnh viễn. Họ cũng không đề xuất tạm dừng tất cả các chuỗi.

KiiChain cũng công bố nguyên tắc tấn công cụ thể của lỗ hổng này. Cuộc tấn công này cần ba khiếm khuyết upstream của mô-đun EVM của Cosmos xảy ra đồng thời để có hiệu quả: sự tràn dưới khi ghi lại số dư sau khi ủy thác trong quá trình biên dịch lại EVM, cùng với hai lỗ hổng chưa được công bố khác. Mã cụ thể của KiiChain không tham gia vào cuộc tấn công này. Tất cả các chuỗi EVM của Cosmos đã kích hoạt tài khoản thuộc sở hữu đều có cùng một rủi ro.

Điều đáng buồn hơn là, các cuộc tấn công như vậy vẫn tiếp diễn cho đến tối ngày 24, nhóm dự án Nesa ngay lập tức phát hành thông báo và thực hiện các biện pháp tạm dừng blockchain. "Chúng tôi đã phát hiện hành vi độc hại lợi dụng lỗ hổng EVM của Cosmos trên L1, hiện đang thực hiện các biện pháp để kiềm chế ảnh hưởng. Chúng tôi đã nhanh chóng hành động và sẽ khôi phục dịch vụ sau khi sửa chữa phần mềm ứng dụng và thực hiện các biện pháp khắc phục thêm để đảm bảo hoạt động an toàn."

Lúc này, token Nesa đã giảm hơn 94%, từ 0.22 USD xuống còn 0.011 USD. Rất ít dự án có thể phục hồi hoạt động bình thường sau những cú giảm giá như vậy.

Tuy nhiên, việc nhóm dự án không chủ động thực hiện các biện pháp để giảm thiểu rủi ro sau nhiều sự cố an ninh EVM của Cosmos và vấn đề bị phơi bày ít nhất 2 ngày cho thấy đội ngũ kỹ thuật của dự án này còn thiếu sót nghiêm trọng về nhận thức rủi ro và trách nhiệm.

Sớm nhất vào ngày 21, MANTRA đã công khai tuyên bố đã xác định nguyên nhân gốc rễ của sự kiện, chỉ giới hạn trong mô-đun EVM của MANTRA Chain.

Khi ngày càng nhiều cuộc thảo luận diễn ra, tuyên bố phản hồi công khai của Cosmos Labs đến muộn màng, "Sự kiện an ninh đang diễn ra ảnh hưởng đến người dùng của mô-đun EVM của Cosmos. Đội ngũ an ninh và kỹ thuật của Cosmos Labs đã chủ động ứng phó với sự kiện này. Chúng tôi đã khuyên các chuỗi EVM của Cosmos đã liên hệ với chúng tôi tạm dừng các chuỗi của họ."

Tuy nhiên, đã quá muộn, những chỉ trích và sự thất vọng từ nhiều phía tràn ngập trên mạng xã hội. "Họ duy trì mô-đun EVM chia sẻ mà hàng chục chuỗi phụ thuộc vào, nhưng khi lỗ hổng biên dịch quan trọng xuất hiện, họ không chủ động phát hành bản vá cho kênh chính, không có PoC rõ ràng, cũng không có hướng dẫn triển khai phối hợp. Những chuỗi này là hạ nguồn của mã của các bạn. Công việc của các bạn là nhanh chóng phát hành bản vá an ninh + PoC có thể triển khai ngay, để toàn bộ hệ sinh thái có thể nâng cấp một cách sạch sẽ. Ngược lại, chúng tôi nhận được sự phá hoại lặng lẽ từ hạ nguồn, mỗi nhóm chỉ có thể tự vật lộn." nhà phát triển @justde cho biết.

Theo dữ liệu từ RootData, hiện tại vốn hóa thị trường của token Cosmos ATOM vẫn là 800 triệu USD, đứng thứ 68 trong số tất cả các token, nhưng đã giảm hơn 95% so với thời kỳ đỉnh cao.

Sự phát triển của hệ sinh thái này trong vài năm qua cũng liên tục gặp khó khăn, trong nửa năm qua đã có các dự án trong hệ sinh thái Cosmos như Neutron, Mars Protocol, Pryzm, Leap Wallet, Cosmostation tuyên bố ngừng hoạt động, Secret Network, Noble và các dự án khác tuyên bố từ bỏ hệ sinh thái Cosmos, chọn xây dựng Layer1 riêng hoặc di chuyển sang hệ sinh thái Ethereum.

Vụ trộm liên hoàn này chắc chắn lại phơi bày những thiếu sót sâu sắc của Cosmos trong việc kiểm toán an ninh mã nguồn, cơ chế phối hợp giữa các chuỗi và hệ thống phản ứng khẩn cấp.

Lỗ hổng an ninh có thể khó tránh khỏi, nhưng logic "công khai bản vá nhưng không thông báo cho hạ nguồn" và những biểu hiện "nhà thầu tạm bợ" đủ để khiến tất cả các nhà xây dựng cảm thấy lạnh gáy.