Bỏ ra 2,700 USD để lấy cắp gần 16 triệu USD
Ngày 27/10, hacker đã sử dụng thủ đoạn thao túng giá để bòn rút 15.8 triệu USD từ giao thức Team Finance, theo The Block.
Team Finance là nền tảng DeFi hỗ trợ các dự án khác khóa thanh khoản. Mục đích là giảm nguy cơ sụt giảm thanh khoản trầm trọng, khiến giá trị token sụp đổ.
Công ty bảo mật blockchain PeckShield cho hay kẻ tấn công đã nhắm đến các token nằm dưới sự kiểm soát của Team Finance. Vụ việc đã ảnh hưởng đến 4 dự án, bao gồm CAW (A Hunters Dream), Dejitaru Tsuka, Kondux và Feg. CAW bị ảnh hưởng nhiều nhất, ước tính thiệt hại 11.5 triệu USD.
2/ The protocol has a flawed migrate() that is exploited to transfer real UniswapV2 liquidity to an attacker-controlled new V3 pair with skewed price, resulting in huge leftover as the refund for profit. Also, the authorized sender check is bypassed by locking any tokens. pic.twitter.com/G2QVNU7DgU
— PeckShield Inc. (@peckshield) October 27, 2022
Cùng ngày 27/10, đội ngũ Team Finance xác nhận sự cố. Theo đó, thủ phạm đã lợi dụng tính năng năng thay đổi phiên bản từ v2 sang v3 của nền tảng. PeckShield tuyên bố lỗ hổng trong chức năng này đã tạo điều kiện cho hacker thao túng giá các token khi chuyển từ v2 sang v3. Thông qua tấn công chênh lệch giá, hacker kiếm được khoản lợi nhuận đáng kể sau khi quá trình di chuyển hoàn tất.
“Chúng tôi đã tạm dừng tất cả các hoạt động thông qua Team Finance cho đến khi chắc chắn sự cố được khắc phục hoàn toàn. Tất cả số tiền hiện có trên Team Finance không còn nguy cơ bị khai thác", Team Finance thông báo.
$14.5M USD of tokens were exploited through the audited v2 to v3 migration function.
— Team Finance (@TeamFinance_) October 27, 2022
We have temporarily paused all activity through team finance until we are certain this exploit has been remedied.
All funds currently on Team Finance are not at further risk of this exploit.
PeckShield lưu ý kẻ tấn công đã sử dụng 1.76 Ether (2,700 USD) để thực hiện giao dịch. Địa chỉ ví của kẻ tấn công vẫn giữ số tiền thu được từ hành vi bất chính, bao gồm 6.43 triệu USD stablecoin DAI và 880 ETH (1.36 triệu USD).
Team Finance kêu gọi hacker thương lượng hoàn lại một phần số tiền. Việc treo thưởng để hacker hoàn tiền lại đang dần trở nên phổ biến trong không gian DeFi.
Đáng chú ý, tháng 10 được coi là giai đoạn "cao điểm" của các sự cố bảo mật tiền mã hóa. Đầu tháng này, nền tảng cho vay Mango Markets đã bị thao túng giá token MNGO và tổn thất khoảng 117 triệu USD. Kẻ tấn công đã đồng ý trả lại tiền với tiền thưởng 47 triệu USD.
Đọc thêm: Mango Market DAO thông qua đề xuất thưởng 47 triệu USD cho hacker.