Cầu nối Cross-chain sự kiện an toàn hồi cứu: liên quan đến hơn 1,9 tỷ USD, phần lớn đã được bồi thường hoặc thu hồi

Trong hệ sinh thái blockchain có nhiều chuỗi công cộng, nhưng do tài sản chính tập trung vào một vài chuỗi, cầu nối Cross-chain trở thành cơ sở hạ tầng quan trọng kết nối các chuỗi khác nhau. Tuy nhiên, cầu nối Cross-chain thường xuyên trở thành mục tiêu của các cuộc tấn công của hacker do tính chất quản lý một lượng lớn tiền. Bài viết này tổng hợp mười sự kiện an ninh của cầu nối Cross-chain gần đây, liên quan đến tổng số tiền vượt quá 1,9 tỷ đô la Mỹ, trong đó khoảng 1,55 tỷ đô la Mỹ đã được thu hồi hoặc bồi thường.

ChainSwap: Thiệt hại 8 triệu USD, giải quyết bằng cách phát hành lại token

Vào tháng 7 năm 2021, ChainSwap đã gặp phải hai cuộc tấn công trong thời gian ngắn, cuộc tấn công thứ hai gây thiệt hại khoảng 8 triệu USD, ảnh hưởng đến hơn 20 dự án sử dụng dịch vụ của nó. Nguyên nhân của sự cố là do giao thức không xác minh chặt chẽ tính hợp lệ của chữ ký. ChainSwap và các dự án bị ảnh hưởng đã bồi thường cho các chủ sở hữu thông qua việc chụp nhanh và phát hành lại token.

Poly Network: 6.1 triệu đô la Mỹ bị đánh cắp, toàn bộ đã được thu hồi

Vào tháng 8 năm 2021, Poly Network đã bị tấn công, gây thiệt hại khoảng 610 triệu USD tài sản trên Ethereum, Binance Smart Chain và Polygon. Kẻ tấn công đã lợi dụng lỗ hổng quản lý quyền hợp đồng, thành công thay thế địa chỉ người xác thực trên chuỗi mục tiêu. Mặc dù phương pháp tấn công rất tinh vi, nhưng hacker cuối cùng đã hoàn trả toàn bộ số tiền, Poly Network thậm chí đã mời họ làm cố vấn an ninh.

Multichain：600 triệu USD bị ảnh hưởng, đã bồi thường một phần

Vào tháng 1 năm 2022, Multichain phát hiện một lỗ hổng nghiêm trọng ảnh hưởng đến nhiều loại token. Mặc dù lỗ hổng đã được khắc phục, vẫn có khoảng 6,04 triệu USD tài sản bị đánh cắp. Nguyên nhân là do hợp đồng có thiếu sót trong việc kiểm tra đầu vào của người dùng. Multichain đã thu hồi gần một nửa số tiền bị đánh cắp và đã bồi thường cho những người dùng kịp thời thu hồi quyền truy cập.

QBridge: Thiệt hại 80 triệu USD, chỉ bồi thường một phần nhỏ

Vào cuối tháng 1 năm 2022, cầu nối Cross-chain QBridge của Qubit đã bị tấn công, thiệt hại khoảng 80 triệu USD. Kẻ tấn công đã tận dụng lỗ hổng của hợp đồng không xác minh lại địa chỉ không (zero address), tạo ra một lượng lớn token trên BSC một cách vô lý. Hiện tại, tỷ lệ sử dụng Qubit rất thấp, phần lớn số tiền bị đánh cắp vẫn chưa được bồi thường.

Meter.io: Thiệt hại 4,4 triệu USD, cam kết bồi thường bằng lợi nhuận trong tương lai

Vào tháng 2 năm 2022, cầu nối Cross-chain Meter Passport đã bị tấn công do "giả định tin cậy sai" trong mã code, gây thiệt hại 4,4 triệu USD. Meter quyết định phát hành token mới PASS để bồi thường cho người dùng và hứa sẽ mua lại bằng lợi nhuận trong tương lai, nhưng đến nay vẫn chưa bắt đầu mua lại.

Ronin: 6.2 triệu USD bị đánh cắp, đã hoàn trả đầy đủ

Vào tháng 3 năm 2022, chuỗi Ronin của Axie Infinity đã chịu tổn thất lớn 620 triệu đô la. Kẻ tấn công đã lấy được quyền truy cập vào hệ thống thông qua phương pháp kỹ thuật xã hội. Mặc dù số tiền bị đánh cắp không thể thu hồi, nhưng nhà phát triển Sky Mavis đã huy động được 150 triệu đô la thông qua một vòng tài trợ mới để bồi thường cho người dùng.

Wormhole: 3.26 triệu USD thiệt hại, đã bồi thường

Vào tháng 2 năm 2022, Wormhole đã bị tấn công do lỗ hổng xác thực hợp đồng ở đầu Solana, gây thiệt hại khoảng 326 triệu USD. Jump Crypto đã nhanh chóng bơm một khoản tiền tương đương cho Wormhole, đảm bảo an toàn cho tài sản của người dùng.

EvoDeFi: Ước tính thiệt hại lên đến hàng chục triệu USD, chưa được xử lý

Tháng 6 năm 2022, DEX ValleySwap trong hệ sinh thái Oasis đã gặp tình trạng USDT bị mất giá nghiêm trọng do cầu nối Cross-chain EvoDeFi mà nó sử dụng thiếu thanh khoản. Số tiền thiệt hại cụ thể chưa được biết, nhưng ước tính vào khoảng hàng triệu đô la. Các bên liên quan chưa cung cấp bất kỳ giải pháp nào, người dùng vẫn chưa nhận được bồi thường cho những tổn thất.

Horizon: Thiệt hại gần 100 triệu USD, kế hoạch bồi thường đang được xây dựng.

Vào tháng 6 năm 2022, cầu nối Cross-chain Horizon của Harmony đã bị tấn công, gây thiệt hại khoảng 100 triệu USD. Người sáng lập thừa nhận có thể là do rò rỉ khóa riêng. Hiện tại, Harmony đang thảo luận với cộng đồng để xây dựng một kế hoạch bồi thường hợp lý.

Nomad: 1.9 triệu đô la Mỹ bị đánh cắp, một phần quỹ có thể được thu hồi

Vào tháng 8 năm 2022, Nomad đã bị đánh cắp 190 triệu đô la do lỗi nâng cấp hợp đồng. Cuộc tấn công đã ảnh hưởng đến 1251 địa chỉ, trong đó địa chỉ ENS chiếm 38% tổng số tiền. Một số hacker mũ trắng đã bày tỏ ý định hoàn lại tiền, nhưng kế hoạch bồi thường cụ thể vẫn chưa được xác định.

Tóm tắt

Cầu nối Cross-chain an toàn thường xuyên xảy ra sự cố nhắc nhở chúng ta cần phải giữ cảnh giác. Ngay cả những cầu nối Cross-chain có thứ hạng thanh khoản cao cũng đã từng gặp vấn đề an ninh. So với đó, những dự án có nền tảng vững mạnh hơn có khả năng xử lý sự cố an ninh tốt hơn trong việc lấy lại tài sản hoặc bồi thường. Giám sát theo thời gian thực và phản ứng nhanh chóng là rất quan trọng để ngăn chặn các cuộc tấn công, như Hop Protocol và StarGate đã từng thành công trong việc ngăn chặn các cuộc tấn công tiềm tàng. Người dùng nên cẩn trọng khi lựa chọn cầu nối Cross-chain, ưu tiên xem xét các dự án có tiềm lực để giảm thiểu rủi ro.