Các thành viên lo ngại trong cộng đồng Gala Games đã phát hiện một loạt các giao dịch rút tiền "trái phép" từ cầu nối GalaChain.
Diễn ra trong gần một tháng, từ ngày 13 tháng 10 đến ngày 10 tháng 11, tổng số tiền chuyển khoản lên tới 140 triệu GALA, tương đương khoảng 1,5 triệu đô la Mỹ vào thời điểm đó.
Do quá khứ đầy tai tiếng của Gala, các thành viên cộng đồng đã "theo dõi sát sao" hoạt động xây cầu.
Việc rút tiền đều đặn hàng ngày với số lượng chính xác 5 triệu token GALA trên Ethereum đã thu hút sự chú ý của họ, và khi cố gắng xác minh nguồn gốc, các giao dịch gửi tiền tương ứng đã bị thiếu trên GalaScan.
Nhóm này, mà một đại diện đã liên hệ với Protos, đã báo cáo các giao dịch cho Gala qua Discord vào ngày 6 tháng 11, "gắn thẻ CEO và người điều hành cộng đồng."
Nhóm này khẳng định rằng họ không được cung cấp lời giải thích nào, mà thay vào đó được cho biết rằng các giao dịch cầu nối bị thiếu có thể là do Block Explorer GalaScan vẫn đang trong quá trình " phát triển ".
Phải đến bốn ngày sau Gala mới hành động. Trong thời gian này, thêm 25 triệu token GALA (khoảng 250.000 đô la) đã được rút khỏi cầu nối Ethereum.
Đọc thêm: Re7 Labs đe dọa người tố giác vì tiết lộ thông tin về sự sụp đổ của kho tiền lãi.
Tổng số tiền rút "không được phép" lên tới 140 triệu GALA.
Bắt đầu từ ngày 13 tháng 10, gần như mỗi ngày có 26 lần rút tiền, mỗi lần 5 triệu GALA, được thực hiện từ cầu nối. Người nhận là một loạt các địa chỉ Ethereum, sau đó đã đổi các token này lấy ETH.
Thêm 10 triệu GALA nữa đã được rút ra vào ngày 10 tháng 11, chỉ vài giờ trước khi cây cầu bị tạm dừng hoạt động.
Lịch sử giao dịch của cầu nối được tải xuống từ GalaScan thiếu các giao dịch cầu nối phù hợp ở phía GalaChain .
Lấy ví dụ giao dịch rút tiền đáng ngờ đầu tiên, xảy ra vào ngày 13 tháng 10 lúc 15:55 UTC, các giao dịch xung quanh với số tiền 18.800 và 24.000 GALA đều có trong dữ liệu GalaScan.
Tuy nhiên, 5 triệu GALA được tạo ra trên Ethereum lại không có giao dịch gửi tiền tương ứng nào trên GalaChain.
Mô hình tương tự đã lặp lại trong các đợt rút tiền hàng ngày tiếp theo, mỗi đợt trị giá 5 triệu GALA, cho đến khi cầu tạm ngừng hoạt động.
Nhóm này tin rằng việc rút cầu một chiều này “cho thấy khả năng quyền tiếp cận đặc quyền đã bị xâm phạm”.
Lý thuyết này dường như được củng cố bởi quyết định của nhóm thực hiện giao dịch thay đổi quyền hạn ngay sau khi tạm dừng hoạt động của cầu vào ngày 10 tháng 11.
Phản hồi của Gala
Nhóm này khẳng định Gala chưa công khai sự cố, cũng như chưa xác nhận nguyên nhân. Các thông báo trên Discord về việc tạm dừng cầu nối Ethereum và Solana chỉ đơn giản viện dẫn "phản hồi và lo ngại từ cộng đồng".
Protos đã liên hệ với Gala, nhưng chưa nhận được phản hồi trước khi bài viết này được đăng tải. Bài viết sẽ được cập nhật nếu chúng tôi nhận được phản hồi.
Vụ việc này có nhiều điểm tương đồng với vụ tấn công mạng hồi tháng 5 năm 2024, trong đó 600 triệu thẻ GALA đã bị bán với giá 21 triệu đô la. CEO của Gala, Eric Schiermeyer, đã tuyên bố vào thời điểm đó: “Chúng tôi đã mắc sai lầm trong khâu kiểm soát nội bộ… Điều này lẽ ra không nên xảy ra và chúng tôi đang thực hiện các bước để đảm bảo điều đó sẽ không bao giờ xảy ra nữa.”
Đọc thêm: Nghiệp quả DeFi : Garden bị hack mất 11 triệu đô la sau khi dùng cầu nối để thu lợi từ Lazarus.
Nhóm này lưu ý "sự tương đồng giữa hai vụ việc, cả hai đều liên quan đến việc lạm dụng thông tin xác thực đặc quyền, phát hiện chậm trễ và luân chuyển quyền hạn khẩn cấp."
Bản báo cáo lập luận rằng mô hình hành vi này “cho thấy những rủi ro tiềm tàng đối với cơ sở hạ tầng và những người nắm giữ Token của Gala”.
