Một hacker mũ trắng đã công khai mâu thuẫn kéo dài nhiều tháng với nhóm phát triển Injective về phản hồi của họ đối với việc phát hiện ra một lỗi nghiêm trọng.
Theo báo cáo, lỗ hổng bảo mật nói trên đã gây nguy hiểm cho 500 triệu đô la thông qua một hệ thống xác thực bị lỗi.
Nhà nghiên cứu bảo mật mật mã Bút danh , với biệt danh al_f4lc0n, đã cáo buộc Injective phớt lờ họ trong ba tháng, mặc dù đã sửa lỗi, và sau đó còn giảm giá trị tiền thưởng xuống thấp hơn thực tế.
Đọc thêm: Tình trạng tấn công giả mạo địa chỉ Ethereum gia tăng đột biến, nhà nghiên cứu cho rằng 'ví điện tử chưa sẵn sàng'.
Lỗi
Người săn tiền thưởng đã tải toàn bộ báo cáo lỗi lên kho lưu trữ GitHub có tên “injective-wall-of-shame”.
Trong phần readme của kho lưu trữ, có tiêu đề “Tôi đã cứu Injective khỏi 500 triệu đô la. Họ trả tôi 50.000 đô la”, họ giải thích rằng lỗ hổng này cho phép “bất kỳ người dùng nào cũng có thể trực tiếp rút hết tiền từ bất kỳ tài khoản nào trên chuỗi. Không cần quyền hạn đặc biệt nào.”
Báo cáo kỹ thuật chi tiết hơn mô tả cách hệ thống xác thực tài khoản phụ bị lỗi đã cho phép kẻ tấn công đặt lệnh thị trường thay mặt cho người dùng khác.
Lỗi này có thể bị kẻ tấn công khai thác bằng cách tạo ra một Token vô giá trị và tạo ra một thị trường giao ngay, ghép nối nó với USDT . Cả hai hành động này đều Không cần cho phép trên Injective.
Sau đó, bằng cách tạo lệnh bán Token giả, kẻ tấn công có thể buộc các tài khoản nạn nhân mua Token vô giá trị này bằng USDT , "với mức giá do kẻ tấn công lựa chọn". USDT sau đó có thể được chuyển đổi không cần cấp phép từ Injective sang Ethereum.
Báo cáo cho rằng điều này đã đặt toàn bộ giá trị trên blockchain vào tình trạng rủi ro, và tổng số tiền thiệt hại lên tới hơn 500 triệu đô la vào thời điểm công bố.
Hiện tại, con số này ở mức 280 triệu đô la, phần lớn trong số đó nằm trong Token INJ .
Tin nhúng: Lỗi Oracle làm gia tăng thêm sự hỗn loạn tại gã khổng lồ DeFi AAVE
Tiền thưởng
Injective là một mạng lưới blockchain có các đối tác như Binance, Jump, Google và Pantera, tuyên bố rằng "các tổ chức và chính phủ đang tham gia cùng chúng tôi."
Chương trình săn lỗi bảo mật là một cách phổ biến để các tổ chức huy động cộng đồng giám sát an ninh liên tục từ các chuyên gia mũ trắng (whitehat bounty hunters).
Trang ImmuneFi của Injective liệt kê mức tiền thưởng tối đa là 500.000 đô la cho các mối đe dọa nghiêm trọng liên quan đến chuỗi khối và hợp đồng thông minh của họ.
Nhà nghiên cứu khẳng định, “việc nâng cấp mạng chính để khắc phục lỗi đã được đưa ra bỏ phiếu quản trị. Nhóm Injective rõ ràng hiểu được mức độ nghiêm trọng của vấn đề.”
Họ cũng cáo buộc rằng Injective đã "biến mất" trong ba tháng sau khi sự cố được khắc phục, trước khi đưa ra mức tiền thưởng thấp hơn 10 lần so với mức tối đa. "Tôi xin khẳng định rõ: 50.000 đô la cũng chưa được trả", họ nhấn mạnh.
Protos đã liên hệ với Injective để xin bình luận về những tuyên bố của al_f4lc0n, nhưng chưa nhận được phản hồi trước khi bài viết được đăng tải. Bài viết này sẽ được cập nhật nếu chúng tôi nhận được phản hồi.
