Theo một báo cáo mới từ AMLBot, có "độ trễ đáng kể" giữa việc các sàn giao dịch tuyên bố sẽ đóng băng USDT của các địa chỉ độc hại và việc thực sự thực hiện điều đó.
AMLBot cho biết việc thực thi đóng băng on-chain của stablecoin USDT của Tether đã diễn ra chậm chạp. Do đó, hãng chống rửa tiền này cho hay, ít nhất 78 triệu đô la đã bị mất vào tay những kẻ xấu trên Ethereum và Tron kể từ năm 2017.
AMLBot giải thích trong báo cáo rằng "lỗ hổng rửa tiền" là kết quả của việc thiết lập hợp đồng Đa chữ ký (Multi-SIG) của Tether.
Đầu tiên, một yêu cầu đóng băng được gửi on-chain, yêu cầu nhiều chữ ký để phê duyệt trước khi việc đóng băng có thể được thực hiện. Do đó, một "cơ hội" được tạo ra cho các đối tượng phi pháp di chuyển quỹ trước khi địa chỉ của họ bị đóng băng.
Một ví dụ được cung cấp trong báo cáo cho thấy độ trễ 44 phút giữa yêu cầu đóng băng và xác nhận trên Tron.
AMLBot cho biết 49,6 triệu đô la đã bị rút bởi những kẻ xấu trên mạng Tron kể từ năm 2017 do lỗ hổng này. Các ví đã có thể thực hiện tối đa ba giao dịch trong khoảng thời gian trễ, với 4,88% các ví bị đưa vào danh sách đen đã khai thác độ trễ trên mạng.
Trong khi đó trên Ethereum, hãng phát hiện 28,5 triệu đô la USDT bị rút trong cùng khung thời gian. Tổng cộng là 78,1 triệu đô la trên hai chuỗi.
Công ty bảo mật PeckShield đã xem xét báo cáo và xác nhận rằng lỗ hổng này tồn tại.
"Điều này không nhất thiết cho thấy vấn đề với hợp đồng. Đúng hơn, đây là vấn đề vận hành tạo ra khoảng thời gian giữa khi giao dịch danh sách đen được gửi và khi nó được thực thi," một đại diện của PeckShield nói với Decrypt. "Với bản chất nhạy cảm về an ninh của vấn đề này, các cải tiến chắc chắn là cần thiết."
Tether là nhà phát hành stablecoin lớn nhất trong tiền điện tử USDT, nhằm Neo giá của nó với đô la Mỹ. Công ty này đưa các địa chỉ vào danh sách đen không được giao dịch sản phẩm của họ nếu chúng được kết nối với hoạt động bất hợp pháp, chẳng hạn như các ví được liên kết với vụ hack Bybit trị giá 1,4 tỷ đô la vào đầu năm nay.
Bị đưa vào danh sách đen có nghĩa là địa chỉ không thể di chuyển các tài sản do Tether phát hành, thực chất làm cho các token trở nên vô giá trị.
Tuy nhiên, AMLBot tin rằng những kẻ độc hại biết về độ trễ nói trên và đang tạo ra các công cụ để khai thác nó.
"Các công cụ có thể được lập trình để giám sát blockchain đối với các tương tác hợp đồng cụ thể, chẳng hạn như các lệnh gọi submitTransaction() liên quan đến các yêu cầu đóng băng," Slava Demchuk, CEO của AMLBot, nói với Decrypt. "Các bots có thể cảnh báo chủ ví ngay khi việc đóng băng được bắt đầu nhưng trước khi được thực thi. Với độ trễ do quy trình đa chữ ký của Tether, điều này cung cấp một cửa sổ hẹp nhưng quan trọng để các đối tượng phi pháp nhanh chóng di chuyển quỹ."
"Mặc dù chúng tôi chưa trực tiếp quan sát các bots, nhưng hành vi on-chain mạnh mẽ cho thấy sự tự động hóa như vậy đang diễn ra," ông nói thêm.
PeckShield cảnh báo rằng độ trễ là bản chất của cách thức hoạt động của các tài khoản đa chữ ký. Đơn giản là cần thời gian để nhiều người ký một giao dịch mặc dù trong một số trường hợp điều này được yêu cầu để tăng cường bảo mật. Hãng này gợi ý rằng Tether có thể gộp yêu cầu đóng băng với các chữ ký thành một giao dịch để loại bỏ cửa sổ này.
Tether chưa phản hồi yêu cầu bình luận của Decrypt kịp thời để xuất bản, bài viết này sẽ được cập nhật một khi nhận được phản hồi.
