Nền tảng DeFi Beanstalk bị tấn công

Cuộc tấn công bằng phương thức “flash-loan” đã trở thành vụ hack DeFi có tổn thất “chín con số” thứ hai chỉ trong vòng một tháng.

Ngày chủ nhật kinh hoàng của những “cây đậu”

Beanstalk Farms, một giao thức stablecoin dựa trên Ethereum, đã bị các hacker khai thác lỗ hổng và lấy đi 182 triệu đô vào Chủ nhật.

Cuộc tấn công đã được gắn cờ trên Twitter bởi công ty bảo mật blockchain PeckShield, công ty cho biết kẻ tấn công đã kiếm được ít nhất 80 triệu đô la tiền điện tử, mặc dù thiệt hại do giao thức phải chịu lớn hơn con số đó rất nhiều.

Đồng stablecoin của Beanstalk là BEAN đã sụp đổ từ kết quả của cuộc tấn công. Vào thời điểm viết bài, token của nó đã giảm 86% so với mức chốt 1 đô la trước đó.

Khi được cánh nhà báo đặt câu hỏi, đại diện Beanstalk đã tóm tắt cách thức cuộc tấn công xảy ra.

Theo bản tóm tắt, kẻ tấn công đã thực hiện một khoản vay nhanh trên nền tảng cho vay Aave, cho phép chúng tích lũy một lượng lớn token quản trị gốc của Beanstalk, Stalk. Với quyền biểu quyết được cấp do sở hữu nhiều token Stalk này, kẻ tấn công đã nhanh chóng thông qua một đề xuất cho phép rút hết tiền từ giao thức vào một ví Ethereum riêng. Thuật ngữ “flash loan” trong lĩnh vực tiền điện tử được hiểu là việc người dùng vay và trả khoản vay trong một giao dịch duy nhất, điều này giảm thiểu rủi ro của người cho vay cũng như tối ưu các quy trình, thủ tục cho người đi vay.

Trong vụ hack Beanstalk Farms, tin tặc đã mượn gần một phần ba nguồn cung BEAN, khoảng 32 triệu token và và sử dụng token 3Crv của Curve Finance để tạo ra token duy nhất là ‘BEAN3CRV-f’ và ‘BEAN3LUSD -f.’

Kẻ tấn công đã sử dụng hai token mới này để đánh lừa mô hình quản trị của Beanstalk và trao cho tin tặc quyền nắm giữ phần lớn “seeds” hay còn được gọi là token quản trị của nền tảng. Với lượng lớn “seeds” nằm trong tay, tin tặc có khả năng thực hiện một lệnh khẩn cấp đối với các hợp đồng thông minh và bòn rút một khoảng tiền lớn.

Trong quá khứ, đã có rất nhiều vụ tấn công các nền tảng DeFi bằng phương pháp này.

Đại diện phía dự án đã viết trong bản tóm tắt về cuộc tấn công:

Beanstalk đã không sử dụng biện pháp chống cho vay nhanh để xác định % Stalk bỏ phiếu ủng hộ thông qua đề xuất. Đây là lỗi đã cho phép hacker khai thác Beanstalk.

Các hợp đồng thông minh của Beanstalk thường được kiểm tra và bảo vệ bởi công ty bảo mật blockchain Omnicia. Tuy nhiên, công ty cho biết trong một cuộc điều tra hôm Chủ nhật, việc kiểm tra định kỳ đã hoàn thành trước khi xuất hiện lỗ hổng cho vay nhanh.

Beanstalk từ chối cung cấp thông tin chi tiết về việc liệu số tiền bị mất có được hoàn trả cho người dùng hay không, đại diện sàn giao dịch này cho biết, công ty sẽ có thông báo chính thức trong một sự kiện được tổ chức ở tòa thị chính vào chủ nhật tuần tới.

Beanstalk có thể sẽ cần những đối tác lớn để khắc phục sự cố này, tương tự như cách Axie Infinity đã làm. Nhiều tài khoản đã bình luận trên Twitter của Beanstalk và suy đoán rằng sắp tới công ty cần giải quyết những “công việc nội bộ” như việc thoát thanh khoản. Tuy nhiên, cho đến khi có thêm thông tin chi tiết, tất cả chỉ là suy đoán.

Theo PeckShield, kẻ tấn công dường như đã quyên góp 250.000 đô la trong số tiền bị đánh cắp vào một ví cứu trợ của Ukraine.

Đây là vụ tấn công mới nhất nhắm vào các nền tảng tài chính phi tập trung (DeFi) lớn đã diễn ra trong vài tuần qua. Vào tháng 3, cầu nối Ronin đã bị khai thác lỗ hổng bảo mật và gây ra tổn thất lên đến 625 triệu đô, các quan chức Hoa Kỳ cho rằng vụ việc này có liên quan đến tổ chức tin tặc tại Triều Tiên.

Đọc thêm:>>> Triều Tiên đang là mối đe đối với toàn bộ không gian tiền điện tử

Source: Taylor Scott – NEWSBTC