Cầu nối Cross-chain Orbit Chain bị tấn công, thiệt hại lên tới 80 triệu USD

Vào ngày 1 tháng 1 năm 2024, một sự kiện an ninh blockchain nghiêm trọng đã thu hút sự chú ý rộng rãi trong ngành. Theo nền tảng giám sát rủi ro an ninh, dự án Orbit Chain đã chịu một cuộc tấn công nghiêm trọng, ước tính thiệt hại lên tới 80 triệu USD. Sự kiện này đã làm nổi bật những thách thức lớn mà các dự án blockchain, đặc biệt là các nền tảng cầu nối Cross-chain, đang phải đối mặt về mặt an ninh.

Orbit Chain là một nền tảng cầu nối Cross-chain cho phép người dùng chuyển giao tài sản tiền điện tử giữa các chuỗi khác nhau. Sau khi phát hiện bị tấn công, nhóm dự án đã nhanh chóng hành động, tạm ngưng hoạt động của hợp đồng cầu nối và cố gắng liên lạc với kẻ tấn công.

Sau khi phân tích ban đầu của các chuyên gia an ninh, phương thức chính của cuộc tấn công lần này là kẻ tấn công đã gọi trực tiếp hàm withdraw trong hợp đồng cầu nối Orbit Chain, từ đó thành công chuyển đi một lượng lớn tài sản. Nghiên cứu sâu hơn cho thấy, hàm withdraw sử dụng cơ chế xác minh chữ ký để đảm bảo tính hợp pháp của việc chuyển tài sản. Tuy nhiên, cơ chế đáng lẽ phải đảm bảo an toàn này lại trở thành điểm yếu mà kẻ tấn công lợi dụng.

Thiết kế hợp đồng yêu cầu ít nhất 70% quản trị viên (tức là 7 trong số 10 quản trị viên) ký để thực hiện thao tác rút tiền. Cơ chế ký nhiều chữ ký này lẽ ra nên cung cấp thêm bảo mật, nhưng trong sự kiện này lại không phát huy tác dụng. Các chuyên gia suy đoán rằng kẻ tấn công có thể đã bằng cách nào đó lấy được đủ số lượng khóa riêng của quản trị viên, từ đó vượt qua cơ chế bảo mật này.

Cần lưu ý rằng cuộc tấn công này không phải diễn ra ngay lập tức. Theo phân tích dữ liệu trên chuỗi, kẻ tấn công đã bắt đầu thực hiện các cuộc tấn công thăm dò quy mô nhỏ từ một ngày trước và đã sử dụng số tiền ban đầu thu được để cung cấp phí giao dịch cho cuộc tấn công quy mô lớn tiếp theo.

Trong cuộc tấn công chính, kẻ tấn công đã nhắm đến nhiều loại tiền điện tử như DAI, WBTC, ETH, USDC và USDT. Cụ thể, kẻ tấn công đã thực hiện năm giao dịch độc lập, chuyển khoảng 50 triệu đô la Mỹ stablecoin (bao gồm 30 triệu Tether, 10 triệu DAI và 10 triệu USDC), 231 WBTC trị giá khoảng 10 triệu đô la Mỹ, và 9500 ETH trị giá khoảng 21.5 triệu đô la Mỹ đến các địa chỉ ví khác nhau.

Sự kiện này một lần nữa đã gióng lên hồi chuông cảnh báo về an ninh trong ngành công nghiệp blockchain. Nó làm nổi bật tầm quan trọng của việc đặt an ninh lên hàng đầu khi thiết kế và triển khai các hệ thống blockchain. Đặc biệt là trong các dự án cầu nối Cross-chain xử lý khối lượng tài sản người dùng lớn, an ninh càng không thể bị xem nhẹ.

Đối với các dự án blockchain, việc đảm bảo an toàn cho mã hợp đồng là rất quan trọng. Điều này không chỉ bao gồm việc tuân theo các thực tiễn lập trình tốt nhất mà còn cần thực hiện kiểm toán bảo mật toàn diện. Đồng thời, cơ chế xác thực và quản lý quyền mạnh mẽ cũng là điều không thể thiếu. Các biện pháp như chữ ký đa chữ ký, phân cấp quyền truy cập có thể giảm thiểu hiệu quả rủi ro truy cập trái phép và mất mát tài sản.

Ngoài ra, việc đánh giá an ninh định kỳ và cơ chế phản ứng khẩn cấp cũng là những khía cạnh mà các dự án cần chú trọng. Khi xảy ra sự cố an ninh, khả năng phản ứng nhanh chóng để giảm thiểu thiệt hại là điều cực kỳ quan trọng để duy trì niềm tin của người dùng và uy tín của dự án.

Với sự phát triển không ngừng của công nghệ blockchain và sự mở rộng của phạm vi ứng dụng, các thách thức an ninh tương tự có thể sẽ tiếp tục xuất hiện. Do đó, toàn bộ ngành cần hợp tác chặt chẽ, không ngừng nâng cao tiêu chuẩn an ninh, phát triển các giải pháp an toàn và đáng tin cậy hơn để đảm bảo an toàn cho tài sản của người dùng và sự phát triển lành mạnh của hệ sinh thái blockchain.