Một vụ xâm phạm an ninh nhắm vào cơ sở hạ tầng kết nối trong hệ sinh thái IoTeX ( IOTX ) được cho là đã dẫn đến việc đánh cắp hơn 8 triệu đô la tiền điện tử. Kết quả điều tra ban đầu cho thấy vụ tấn công không bắt nguồn từ lỗi hợp đồng thông minh, mà từ việc lộ thông tin của một khóa riêng tư duy nhất.
Theo dữ liệu on-chain , kẻ tấn công đã nhanh chóng chuyển đổi tài sản bị chiếm đoạt thành ETH và sau đó bắt đầu chuyển tiền vào mạng Bitcoin thông qua THORChain. Điều này được xem là một động thái nhằm làm cho việc truy tìm trở nên khó khăn hơn.
Trọng tâm của vụ việc là việc xâm phạm an ninh của địa chỉ EOA (Externally Owned Account) sở hữu hợp đồng “TransferValidatorWithPayload”. Việc chiếm đoạt khóa riêng này cho phép kẻ tấn công thay đổi quyền sở hữu các hợp đồng TokenSafe và MinterPool. Điều này cho phép kẻ tấn công có được quyền truy cập đặc quyền vào hệ thống và đánh cắp tiền.
Theo các chuyên gia, không có lỗ hổng hợp đồng thông minh hay cơ chế khai thác phức tạp nào ở đây. Một hàm `Mint()` đơn giản trong hợp đồng đã thực hiện cuộc gọi `transfer()` trong hợp đồng Token . Tuy nhiên, sau khi giành được quyền sở hữu, hàm này đã bị lạm dụng và tất cả tài sản đã bị rút ra.
Theo phân tích on-chain , các tài sản bị đánh cắp trong vụ tấn công bao gồm những thứ sau:
- 2.835 UNI
- 45,825 BUSD
- 13,85 triệu đô IOTX
- 8,71 PAXG
- 20.158 Dai
- 6.11 WBTC
- 635 WETH
- 1,36 triệu USDC
- 1,14 triệu USDT
Ngoài ra, kẻ tấn công đã tạo ra khoảng 4 triệu đô la giá trị token CIOTX thông qua MinterPool. Các nhà phân tích lưu ý rằng sự cố này không phải là "vi phạm hợp đồng" mà là vi phạm trực tiếp lòng tin ở lớp sở hữu, và việc một khóa duy nhất bị xâm phạm đã tạo ra phản ứng chuỗi .
Sau khi sự việc lan truyền trên mạng xã hội, nhóm IoTeX đã đưa ra một tuyên bố chính thức. Tuyên bố cho biết lỗ hổng bảo mật đã được khắc phục nhanh chóng và tình hình đã được kiểm soát. Đánh giá ban đầu cho thấy thiệt hại tiềm tàng thấp hơn so với các con số đang lan truyền trên mạng.
Nhóm này cũng thông báo rằng họ đang phối hợp với một số sàn giao dịch tiền điện tử lớn và đang nỗ lực theo dõi và phong tỏa tài sản của kẻ tấn công. Họ cho biết sẽ cập nhật thông tin qua các kênh chính thức và người dùng chỉ nên tin tưởng vào các nguồn tin đã được xác minh.
*Đây không phải là lời khuyên đầu tư.
