Hacker Harmony đã nắm quyền kiểm soát ví đa chữ ký?
Ngày 23/6, hacker ẩn danh đã cuỗm mất nhiều tài sản, bao gồm ETH, BNB, USDT, USDC và DAI. Điều này được tiết lộ thông qua chuỗi tweet của dự án Harmony.
Những tài sản này liên quan đến cầu nối với Ethereum đến blockchain Harmony thông qua Horizon.
1/ The Harmony team has identified a theft occurring this morning on the Horizon bridge amounting to approx. $100MM. We have begun working with national authorities and forensic specialists to identify the culprit and retrieve the stolen funds.
— Harmony 💙 (@harmonyprotocol) June 23, 2022
More 🧵
Harmony cho biết họ đang làm việc với nhà chức trách quốc gia và các chuyên gia pháp lý để xác định thủ phạm, lấy lại số tiền bị đánh cắp. Tuy nhiên, nhóm nghiên cứu không giải thích cách thức hack diễn ra như thế nào.
Mặc dù các nhà phát triển của Harmony vẫn chưa đưa ra kết quả chính thức. Nhưng các chuyên gia bảo mật đã đưa ra một số thông tin chi tiết về vụ hack. Theo Mudit Gupta - giám đốc an ninh thông tin của Polygon, thủ phạm đã giành được quyền kiểm soát ví đa chữ ký được sử dụng trong việc triển khai cầu nối của Harmony.
Harmony Protocol's Horizon bridge was hacked and $100 million were drained earlier today.
— Mudit Gupta (@Mudit__Gupta) June 24, 2022
The bridge was essentially a 2 of 5 multisig. If any 2 addresses told it to transfer funds to someone, it did.
The hacker compromised 2 addresses and made them drain the money. 🧵👇 pic.twitter.com/hv1JWDy9WQ
Theo đó, ví đa chữ ký là một tài khoản hợp đồng thông minh được quản lý bằng nhiều private key, được chia cho các tài khoản khác nhau chứ không phải cho một người duy nhất.
Gupta phát hiện ra rằng số tiền của cầu nối Horizon yêu cầu sự cho phép từ ít nhất hai trong tổng số năm private key. Vì vậy, hung thủ có thể đã nắm được 2 private key và giành được quyền kiểm soát.
Ngoài ra, ngày 24/6, Certik - công ty bảo mật hợp đồng thông minh đã đưa ra bằng chứng rằng hacker đã nhắm mục tiêu vào ví đa chữ ký của cầu nối. Trong báo cáo, Certik cho biết: "Kẻ tấn công đã thực hiện khai thác bằng cách điều khiển chủ sở hữu của ví đa chữ ký để chuyển một lượng lớn token từ cầu nối trên Harmony."