Cộng đồng Solana cho biết đã phát hiện và khắc phục thành công một lỗ hổng nghiêm trọng, có thể gây tổn thất lên đến hàng tỷ USD cho các dự án.
Solana khắc phục lỗ hổng “tỷ đô”
Đơn vị nghiên cứu bảo mật Neodyme vào sáng ngày 04/12 tiết lộ họ đã tìm thấy một lỗ hổng giao thức Solana Program Library (SPL), thứ mà có thể ảnh hưởng đến 2,6 tỷ USD giá trị khóa lại (TVL) của các dự án đang vận hành trên Solana.
The total TVL at risk was about 2.600.000.000 USD. Some of that value is lent out, and some other low-value coins are not economically viable to steal, but the potential profit was easily in the hundreds of millions.
— Neodyme (@Neodyme) December 3, 2021
Theo Neodyme, lỗ hổng này xuất phát từ cách lập trình làm tròn số của Solana Program Librabry, khiến người dùng có thể nạp rút qua lại giữa các token SPL và ctoken SPL đại diện cho số tiền đã staking trong một dự án bất kỳ. Lỗ hổng đã tồn tại trong thư viện SPL từ ngày 05/06/2021 và đã được chỉ ra, song các lập trình viên cho rằng phương thức tấn công ấy là không khả thi khi phải mất một số tiền giao dịch lớn trong khi lượng token rút ra được là vô cùng nhỏ. Tuy nhiên, Neodyme đã chạy thử giả định của họ và phát hiện ra nếu đủ kiên nhẫn, kẻ tấn công có thể dễ dàng và âm thầm kiếm lời từ lỗ hổng mà khó có thể bị phát hiện.
Độc giả có thể xem thêm bài đăng giải thích của Neodyme để biết chi tiết bản chất lỗ hổng, cách đơn vị nghiên cứu bảo mật phát hiện nó và cách thức tấn công của họ để lợi dụng nó.
As such, we’ve written up a dive into how this vulnerability could have been exploited, and how we found it: https://t.co/vxrAiiPiKj
— Neodyme (@Neodyme) December 3, 2021
Vì nhiều dự án trên Solana đã sử dụng lại Solana Program Library trong bộ mã để chạy ứng dụng mà không kiểm tra, do đó lỗ hổng trên tồn tại độc lập. Qua việc kiểm tra kỹ càng, Neodyme đã xác định được 8 dự án đang chứa lỗi trên, gồm Solend, Tulip, Larix, Port, Acumen, Soda, Jet và Apricot. Tổng lại, các dự án này đang quản lý khối tài sản TVL lên đến 2,6 tỷ USD tính vào đầu tháng 12.
Neodyme sau đó đã liên hệ cả nhóm phát triển Solanan và các dự án để yêu cầu vá lỗ hổng và tính đến ngày 03/12, lỗi trên đã được khắc phục thành công. Toàn bộ sự việc đã được nhận diên và vá chỉ trong vòng 3 ngày, từ 01/12 đến 03/12. Neodyme tiếp đó đã công bố toàn bộ các phát hiện của họ cho cộng đồng.
Tấn công DeFi vẫn là “gót chân Achilles” của ngành tiền mã hóa
Lỗ hổng trên một lần nữa cho thấy lĩnh vực tiền mã hóa vẫn còn nhiều rủi ro rình rập, bởi cả ở những giao thức blockchain tưởng như an toàn và bảo mật nhất vẫn có thể tồn tại những lỗi xuất phát từ cách lập trình của con người, chỉ chờ đến ngày bị phát hiện. Nếu người phát hiện có ý tốt, họ sẽ tìm cách khắc phục và cảnh báo nó đến cộng đồng như những gì Neodyme đã làm; nếu không, họ sẽ tìm cách tận dụng nó để tư lợi cho bản thân.
Lĩnh vực tiền mã hóa đã chứng kiến nhiều “hacker mũ trắng”. Vào tháng 10, mạng Polygon đã chi trả khoản thưởng bug bounty lên đến 2 triệu USD – mức thưởng cá nhân lớn nhất từ trước đến nay – cho một lập trình viên đã giúp họ khắc phục lỗi có thể gây thiệt hại đến 850 triệu USD. Trước đó, vào tháng 8, một lập trình viên có tên samczsun đã giúp launchpad MISO của SushiSwap vá lỗ hổng trị giá 350 triệu USD.
Tuy nhiên, không phải ai cũng có ý tốt như vậy. Lĩnh vực tiền mã hóa chỉ trong năm 2021 đã ghi nhận thiệt hại từ các cuộc tấn công DeFi vượt mức 1,4 tỷ USD, với hàng loạt các sự cố nghiêm trọng như:
– Vụ hack Poly Network (POLY) với tổn thất 611 triệu USD (dù hacker đã trả tiền lại);
– Cream Finance (CREAM) bị tấn công đến 3 lần, để mất hơn 130 triệu USD;
– Compound (COMP) gặp lỗ hổng smart contract và bị bòn rút 148 triệu USD;
– BOY X HIGHSPEED (BXH) bị tấn công và để mất hơn 139 triệu USD;
– Và mới nhất là Badger DAO (BADGER) ghi nhận lỗ hổng giao diện người dùng và bị lợi dụng để rút đến 120 triệu USD tiền mã hóa từ ví người dùng.
Bản thân Solana dù chưa ghi nhận dự án nào bị hack nhưng vào tháng 09/2021 từng gặp một sự cố nghiêm trọng, khiến toàn bộ blockchain “đứng hình” đến tận 18 tiếng đồng hồ.
Một điểm trùng hợp là vào ngày 02/12, một thành viên trong cộng đồng Solana đã đăng tweet “cà khịa” Ethereum rằng trong toàn bộ lịch sử, số tiền mà Solana từng để mất trong các vụ tấn công DeFi chỉ là 16.000 USD, trong khi Ethereum thì đã vượt mốc 2,9 tỷ USD.
The total amount of money lost due to DeFi hacks:@solana: $16,000@ethereum: $2,934,269,496.30https://t.co/pgSL7QbCaM pic.twitter.com/zNnePGZNfr
— J◎e McCann (@joemccann) December 2, 2021
Chắc hẳn người này không ngờ rằng trong lúc anh ta đang gõ những dòng trên, Neodyme đang vất vả khắc phục một lỗ hổng mà có thể khiến Solana gần như “san bằng tỷ số” với Ethereum.
Coin68 tổng hợp
Có thể bạn quan tâm:
