Tối hôm qua, đơn vị bảo mật blockchain PeckShield đã báo cáo về một vụ tấn công trên giao thức DeFi có tên Onyx Protocol, với ước tính thiệt hại ban đầu lên tới hơn $2,1 triệu.
The @OnyxProtocol hack leads to ~$2.1M loss by exploiting a known rounding issue behind the popular CompoundV2 fork.
Basically, the exploited oPEPE market was deployed 5 days ago without any liquidity. This empty market was abused with donation to borrow funds from other… https://t.co/ijkXbOyYr2 pic.twitter.com/fbHdZhTz0E
— PeckShield Inc. (@peckshield) November 1, 2023
Theo báo cáo, kẻ tấn công đã tận dụng một lỗ hổng gây ra sự mất chính xác (precision loss) trong cơ sở mã dữ liệu của Onyx Protocol bằng cách thực hiện vay flash loan một lượng ETH lớn, sau đó swap chúng thành PEPE và nạp tiền vào một pool cụ thể để chi phối tỷ giá giao dịch. Nhờ lỗ hổng độ chính xác này, hacker đã có thể rút lợi nhuận lớn hơn so với tỷ giá thực tế của pool.
Kẻ tấn công đã nhanh chóng tẩu tán hơn 1.164 ETH, tương đương hơn $2,1 triệu, đến một địa chỉ ví “0x4C9C8661243E9E9a15A35B8873317eb881330c98”.
PeckShield đánh giá rằng vụ việc với giao thức Onyx tương tự vụ tấn công Hundred Finance vào tháng 4/2023, khiến dự án phải đóng cửa và bồi thường cho người dùng.
Chỉ hơn 1 giờ sau vụ tấn công, toàn bộ số tiền đánh cắp đã được hacker “rửa sạch” thông qua Tornado Cash, một giao thức trộn lẫn giao dịch trên Ethereum, có sự liên quan đến ông Roman Semanov, một trong những người sáng lập của giao thức này, đang bị chính quyền Hoa Kỳ bắt giữ.
Update: Onyx Protocol Exploiter has laundered ~1,130 $ETH to #TornadoCash pic.twitter.com/lc8MRZ8Pzl
— PeckShieldAlert (@PeckShieldAlert) November 1, 2023
Flash loan là một hình thức vay tiền “nóng” phổ biến trong thế giới DeFi, cho phép người dùng vay một lượng lớn tiền mà không cần tài sản thế chấp, với điều kiện phải trả lại trong cùng block giao dịch.
Theo PeckShield, trong 6 tháng đầu năm 2023, đã xảy ra 386 vụ tấn công DeFi với tổng thiệt hại 479 triệu USD. Trong đó, 71% vụ tấn công được thực hiện thông qua flash loan, với các ví dụ như Euler Finance, Platypus, 0VIX và Allbridge.
Có vẻ như flash loan vẫn là một điểm yếu trong thế giới DeFi và gây ra những thiệt hại đáng kể.
Az9 Digital tổng hợp
Có thể bạn quan tâm:
