Khuya 10/8, nền tảng tiền ảo Poly Network thông báo bị hacker tấn công thông qua một lỗ hổng trên hệ thống. Đây được xem là vụ hack tiền mã hóa lớn nhất cho đến nay.
Nền tảng tiền ảo bị hack 600 triệu USD
Poly Network là nền tảng DeFi (tài chính phi tập trung) giúp người dùng có thể hoán đổi token giữa các blockchain với nhau. Dự án Poly Network hợp tác cùng Ethereum, Binance và Polygon.
Vụ tấn công khiến Poly Network mất khoảng 600 triệu USD tiền mã hóa, gồm 273 triệu USD tiền Ethereum, 85 triệu USD tiền USDC và 252 triệu USD tiền trên sàn giao dịch Binance.
Đến ngày 12.8, nhóm hacker bất ngờ trả lại 260 triệu USD cho Poly Network sau khi nền tảng này gửi thư đe dọa sẽ nhờ tới cơ quan pháp luật can thiệp. Bọn hacker tuyên bố rằng cố tình hack Poly Network để phơi bày lỗ hổng bảo mật của hệ thống và không quan tâm đến tiền.
Sau khi vụ việc được công bố, một số chuyên gia an ninh mạng đã thử điều tra nguyên nhân. Một trong những giả thuyết gây tranh cãi là nhân viên của Poly Network đã làm việc này và cố tình đánh lừa dư luận bằng câu chuyện hacker.
Phân tích ban đầu của công ty kiểm toán BlockSec cho biết vụ trộm có thể là kết quả của việc rò rỉ khóa cá nhân (private key) được dùng để ký cross-chain message (cơ chế truyền dữ liệu giữa các blockchain), hoặc tin tặc đã khai thác lỗi trong quá trình truyền dữ liệu nhằm đặt lệnh chuyển tiền giả.
Các chuyên gia khác thì đổ lỗi cho hoạt động bảo mật kém dẫn đến việc hacker đánh cắp thành công loạt khóa cá nhân được nhóm Poly Network dùng để ủy quyền giao dịch.
Giữa các nhà nghiên cứu bảo mật vẫn còn nhiều ý kiến mâu thuẫn. Nhóm bảo mật blockchain SlowMist nghiêng về giả thuyết kẻ tấn công lợi dụng lỗ hổng trong hợp đồng thông minh (smart contract) để chiếm quyền người giữ khóa, hướng dòng tiền đến địa chỉ ví của mình. Nhóm này khẳng định: “Vụ việc không phải do rò rỉ khóa cá nhân của khách hàng”.
Ví của Poly Network theo mô hình yêu cầu 4 người giữ khóa nhưng chỉ cần 3 chữ ký để truy cập. Theo ông, hacker phải đánh cắp thành công tất cả chìa khóa của những người này, hoặc lừa 3 người còn lại đồng ý ký quỹ cho giao dịch chuyển tiền.
Những nghi ngờ xung quanh việc kẻ tấn công là “tay trong” vẫn chưa đến hồi kết. Theo công ty phân tích CipherTrace, “rug pull” là hình thức lừa đảo tiền ảo phổ biến nhất vào năm ngoái. Đây là tiếng lóng ám chỉ khi chính những người tham gia phát triển một dự án đột ngột bỏ đi, mang theo tiền của nhà đầu tư.
Poly Network cho biết công ty nâng cấp hệ thống bảo mật tối cao để ngăn chặn một cuộc tấn công như vậy xảy ra một lần nữa trong tương lai, nhưng họ sẽ không thực hiện cho đến khi tất cả số tiền bị hack còn lại được trả lại.
Xem thêm: Bitcoin kiểm tra sức mạnh của ngưỡng hỗ trợ 16.000 USD
