Syndicate Labs đã xác nhận rằng một khóa nâng cấp bị rò rỉ đã cho phép kẻ tấn công chiếm quyền kiểm soát cầu nối chuỗi chéo Commons của họ, rút khoảng 18,5 triệu token SYND trị giá khoảng 330.000 đô la cộng với tiền của người dùng và gây ra sự sụt giảm giá mạnh trước khi nhóm này cam kết bồi thường đầy đủ và khắc phục sự cố bảo mật toàn diện.
Syndicate Labs đã xác nhận rằng một vụ rò rỉ khóa riêng đã cho phép kẻ tấn công nâng cấp trái phép các hợp đồng cầu nối chuỗi chéo trên hai mạng lưới và đánh cắp khoảng 18,5 triệu SYND, trị giá khoảng 330.000 đô la, cùng với khoảng 50.000 đô la token của người dùng. Nhóm nghiên cứu nhấn mạnh rằng sự cố chỉ giới hạn ở các chuỗi cụ thể và không ảnh hưởng đến cơ sở hạ tầng Syndicate rộng lớn hơn.
Trong một tuyên bố chính thức, Syndicate Labs cho biết vụ xâm nhập diễn ra sau “quá trình trinh sát nhiều giai đoạn, lập bản đồ cơ sở hạ tầng và thực hiện cẩn thận”, gọi đây là một cuộc tấn công “thể hiện mức độ phức tạp kỹ thuật cao” đồng thời loại trừ rõ ràng sự tham gia của người nội bộ. Kẻ tấn công đã chiếm đoạt khoảng 18,5 triệu SYND và nhanh chóng bán số token này, với các công ty bảo mật bên ngoài như CertiK đã theo dõi được số tiền thu được vào Ethereum sau khi thực hiện giao dịch bắc cầu.
Nguyên nhân gốc rễ: quản lý lưu trữ khóa và nâng cấp yếu kém.
Syndicate Labs đã xác định nguyên nhân gốc rễ là do bảo mật vận hành kém xung quanh các khóa nâng cấp cầu nối, thừa nhận rằng “khóa riêng được lưu trữ trong một công cụ quản lý mật khẩu mà không có lớp mã hóa bổ sung”. Nhóm cũng thừa nhận rằng quy trình nâng cấp không sử dụng Đa chữ ký (Multi-SIG) hoặc chữ ký phần cứng và thiếu “các biện pháp cảnh báo sớm và ngắt mạch cho việc nâng cấp hợp đồng”, khiến chỉ cần một khóa bị xâm phạm cũng đủ để thực hiện một hành vi độc hại.
Sau vụ tấn công, giá SYND đã giảm hơn 30% trên một số sàn giao dịch do dòng tiền bị ảnh hưởng, lặp lại các vụ tấn công cầu nối chuỗi chéo trước đây gây ra sự sụt giảm mạnh Token . Các sự cố cầu nối chuỗi chéo tương tự, chẳng hạn như các vụ tấn công trước đó vào cơ sở hạ tầng của bên thứ ba được đề cập trong bài viết này trên crypto.news, đã nhiều lần nhấn mạnh sự nguy hiểm của các khóa nâng cấp tập trung.
Syndicate Labs đã cam kết "bồi thường đầy đủ cho tất cả người dùng bị ảnh hưởng", bao gồm hoàn trả 18,5 triệu SYND đã bị rút mất và cung cấp "bồi thường bổ sung", đồng thời "bồi thường đầy đủ cho các khách hàng chuỗi ứng dụng bị ảnh hưởng". Công ty cho biết họ có đủ dự trữ để bù đắp các khoản lỗ, tương tự như những cam kết đã thấy trong các nỗ lực phục hồi DeFi trước đây được báo cáo trong một bài viết khác trên crypto.news.
Để ngăn chặn tình trạng tương tự tái diễn, Syndicate Labs đã bắt đầu tăng cường quản lý khóa bằng cách củng cố mã hóa khóa riêng, thắt chặt kiểm soát truy cập và lên kế hoạch giới thiệu các cơ chế phần cứng hoặc Đa chữ ký (Multi-SIG) cùng với việc giám sát thời gian thực các lộ trình nâng cấp. Lộ trình của nhóm tuân theo các lời kêu gọi rộng rãi hơn trong ngành về các cầu nối được kiểm soát bằng đa chữ ký và các bộ ngắt mạch tự động, những chủ đề được nêu bật trong một bài báo khác trên crypto.news.
Token SYND của Syndicate vẫn đang chịu áp lực khi thị trường tiếp nhận thông tin về vụ tấn công và chờ đợi thời gian cụ thể để bồi thường và nâng cấp bảo mật.
