Vào lúc 19:06:46 ngày 23 tháng 6 năm 2022, giờ Bắc Kinh, nhóm kiểm toán CertiK đã phát hiện nhiều cuộc tấn công độc hại vào cầu nối chuỗi chéo giữa chuỗi Harmony và Ethereum.

các bước tấn công

các bước tấn công

Hãy lấy giao dịch lỗ hổng đầu tiên là 13100 ETH làm ví dụ:

① Chủ sở hữu hợp đồng MultiSigWallet 0xf845a7ee8477ad1fb446651e548901a2635a915 gọi hàm submitTransaction() để gửi giao dịch với tải trọng sau để tạo id giao dịch 21106 trong giao dịch.

② Để xác nhận giao dịch, người gọi phải là chủ hợp đồng.

③Trong cuộc tấn công tiếp theo, MultiSigWallet của chủ sở hữu hợp đồng MultiSigWallet (0x812d8622c6f3c45959439e7ede3c580da06f8f25) gọi hàm confirmTransaction(), trong đó ID giao dịch đầu vào là 21106.

④ Để thực hiện giao dịch thành công, người gọi phải là chủ sở hữu hợp đồng.

⑤Hàm execTransaction() gọi một lệnh gọi bên ngoài với dữ liệu đầu vào, sẽ kích hoạt hàm unlockEth() trên hợp đồng Ethmanager.

⑥ Dữ liệu đến của hàm unlockEth() chỉ định số tiền, người nhận và người được trả tiền.

⑦Vì kẻ tấn công bằng cách nào đó đã kiểm soát quyền của chủ sở hữu, nên kẻ tấn công đã có thể thực hiện giao dịch với id 21106, giao dịch này đã chuyển 13100 ETH đến địa chỉ của kẻ tấn công 0x0d043128146654C7683Fbf30ac98D7B2285DeD00.

Nơi ở của tài sản

Nơi ở của tài sản

giao dịch dễ bị tổn thương

giao dịch dễ bị tổn thương

• Những kẻ tấn công giao dịch sau đã đánh cắp 13.100 ETH, trị giá khoảng 14.619.600 USD (theo giá ETH hiện tại: 1116 USD): https://etherscan.io/tx/0x27981c7289c372e601c9475e5b5466310be18ed10b59d1ac840145f6e7804c97 [13 , 100ETH]

• Những kẻ tấn công giao dịch sau đã đánh cắp 41.200.000 USDC: https://etherscan.io/tx/0x6e5251068aa99613366fd707f3ed99ce1cb7ffdea05b94568e6af4f460cecd65

• Kẻ tấn công đã đánh cắp 592 WBTC trị giá khoảng 12.414.832 USD trong giao dịch sau: https://etherscan.io/tx/0x4b17ab45ce183acb08dc2ac745b2224407b65446f7ebb55c114d4bae34539586

• Những kẻ tấn công giao dịch sau đã đánh cắp 9.981.000 USDT: https://etherscan.io/tx/0x6487952d46b5265f56ec914fcff1a3d45d76f77e2407f840bdf264a5a7459100

• Những kẻ tấn công giao dịch sau đã đánh cắp 6.070.000 DAI: https://etherscan.io/tx/0xb51368d8c2b857c5f7de44c57ff32077881df9ecb60f0450ee1226e1a7b8a0dd

• Kẻ tấn công giao dịch sau đã đánh cắp 5.530.000 BUSD: https://etherscan.io/tx/0x44256bb81181bcaf7b5662614c7ee5f6c30d14e1c8239f006f84864a9cda9f77

• Những kẻ tấn công đã đánh cắp 84.620.000 AAG trị giá khoảng 856.552 USD trong giao dịch sau: https://etherscan.io/tx/0x8ecac8544898d2b2d0941b8e39458bf4c8ccda1b668db8f18e947dfc433d6908

• Những kẻ tấn công đã đánh cắp 110.000 FXS trị giá khoảng 573.100 USD trong giao dịch sau: https://etherscan.io/tx/0x4a59c3e5c48ae796fe4482681c3da00c15b816d1af9d74210cca5e6ea9ced191

• Những kẻ tấn công đã đánh cắp 415.000 SUSHI trị giá khoảng 518.750 USD trong giao dịch sau: https://etherscan.io/tx/0x75eeae4776e453d2b43ce130007820d70898bcd4bd6f2216643bc90847a41f9c

• Kẻ tấn công đã đánh cắp 990 AAVE, trị giá khoảng 67.672 USD, trong giao dịch sau: https://etherscan.io/tx/0xc1c554988aab1ea3bc74f8b87fb2c256ffd9e3bcadaade60cf23ab258c53e6f1

• Kẻ tấn công đã đánh cắp 43 WETH trị giá khoảng 49.178 USD trong giao dịch sau: https://etherscan.io/tx/0x698b6a4da3defaed0b7936e0e90d7bc94df6529f5ec8f4cd47d48f7f73729915

viết ở cuối

viết ở cuối

Tổng hợp trong CertiK'sBáo cáo tình trạng bảo mật Web3.0 cho quý đầu tiên của năm 2022“Trong quý đầu tiên của năm 2022, người ta đã chỉ ra rằng thủ phạm chính gây ra thiệt hại do cuộc tấn công giá cao ngất trời của Web3.0 là rủi ro tập trung hóa, trong đó các cầu nối xuyên chuỗi là dễ bị tổn thương nhất.

Yếu tố rủi ro của "rủi ro tập trung" có thể đã được phát hiện thông qua kiểm toán trong cuộc tấn công này. Ngoài việc kiểm tra, nhóm bảo mật CertiK khuyến nghị rằng các mã mới cũng cần được kiểm tra kịp thời trước khi đưa lên mạng.