5 Lỗ hổng Hợp đồng thông minh tàn khốc nhất trong Lịch sử Tiền điện tử là gì?

Cuộc tấn công DAO: $60 triệu bị đánh cắp trong lỗ hổng hợp đồng thông minh lớn nhất của Ethereum

Vào năm 2016, thế giới tiền mã hóa đã chứng kiến một trong những vụ vi phạm bảo mật quan trọng nhất khi The DAO, một tổ chức tự trị phi tập trung được xây dựng trên Ethereum, đã trở thành nạn nhân của một cuộc tấn công tàn khốc. Kẻ tấn công đã khai thác một lỗ hổng nghiêm trọng trong mã hợp đồng thông minh, quản lý để rút khoảng $60 triệu giá trị ether vào một wallet riêng biệt. Vụ vi phạm bảo mật này xảy ra mặc dù The DAO đã huy động được hơn $150 triệu đô la trong quỹ đầu tư thông qua việc bán token.

Cuộc tấn công đã tận dụng một lỗ hổng gọi đệ quy cho phép hacker rút tiền nhiều lần trước khi hệ thống có thể cập nhật chính xác số dư tài khoản. Điều làm cho cuộc tấn công này đặc biệt đáng chú ý là nó không vi phạm bất kỳ quy tắc rõ ràng nào trong hợp đồng thông minh—nó chỉ khai thác một tính năng không được chú ý trong logic của mã.

Sự cố đã tạo ra một sự phân chia triết học trong cộng đồng Ethereum giữa những người tin rằng "mã là luật" và những người ủng hộ can thiệp. Cuộc khủng hoảng này cuối cùng đã dẫn đến một đợt phân tách cứng gây tranh cãi của chuỗi khối Ethereum để lấy lại số tiền bị đánh cắp, tạo ra Ethereum Classic (chuỗi gốc) và Ethereum (chuỗi phân tách). Cuộc tấn công DAO đã thay đổi cơ bản cách các nhà phát triển tiếp cận bảo mật hợp đồng thông minh, nhấn mạnh sự cần thiết phải kiểm toán và kiểm tra kỹ lưỡng trước khi triển khai mã quản lý tài sản tài chính đáng kể.

Ví Parity bị đóng băng: $300 triệu bị khóa do lỗi mã

Vào năm 2017, thế giới tiền điện tử đã chứng kiến một trong những thất bại hợp đồng thông minh quan trọng nhất khi một nhà phát triển được xác định là "devops199" vô tình kích hoạt một lỗ hổng nghiêm trọng trong thư viện ví đa chữ ký Parity. Sự cố này đã dẫn đến việc khoảng $300 triệu worth của Ethereum bị khóa vĩnh viễn và không thể truy cập được đối với chủ sở hữu của chúng. Sự kiện thảm khốc này xảy ra vào ngày 8 tháng 11, khi devops199 gọi hàm initWallet, vô tình giành quyền sở hữu hợp đồng thư viện hỗ trợ nhiều ví đa chữ ký.

| Chi tiết sự cố ví Parity | Thông tin | |-------------------------------|-------------| | Ngày xảy ra sự cố | 8 tháng 11, 2017 | | Số tiền bị đóng băng | $300 triệu ETH | | Ví bị ảnh hưởng | Hơn 500 ví đa chữ ký | | Nguyên nhân | Lỗi mã trong hợp đồng thư viện | | Kích hoạt hành động | Người dùng "devops199" gọi hàm initWallet |

Điều làm cho sự cố này đặc biệt đáng lo ngại là Parity Technologies đã nhận được cảnh báo về lỗ hổng này từ nhiều tháng trước. Một người dùng GitHub đã xác định và báo cáo lỗi này vào tháng Tám, nhưng công ty đã không thực hiện các sửa chữa cần thiết. Mã gốc đã được tạo ra và kiểm toán bởi nhóm DEV của Ethereum Foundation và Parity Technologies, tuy nhiên lỗ hổng nghiêm trọng này vẫn chưa được khắc phục, cho thấy ngay cả những hợp đồng thông minh đã được xem xét kỹ càng cũng có thể chứa những lỗi nghiêm trọng với những hậu quả không thể đảo ngược trong công nghệ blockchain.

Lỗ hổng Poly Network: $610 triệu đã bị đánh cắp trong vụ hack DeFi chuỗi chéo

Trong một trong những vụ vi phạm an ninh quan trọng nhất trong lịch sử tài chính phi tập trung, các tin tặc đã thực hiện một cuộc tấn công tinh vi vào Poly Network, thành công trong việc đánh cắp khoảng $610 triệu tài sản kỹ thuật số. Sự cố năm 2021 này đứng trong số những vụ trộm tiền điện tử lớn nhất từng được ghi nhận, so sánh với các vi phạm lớn tại các sàn giao dịch khác trong những năm trước.

Các hacker đã lợi dụng một lỗ hổng trong giao thức cross-chain của Poly Network, cho phép họ chuyển hàng nghìn token kỹ thuật số bao gồm Ether đến các ví tiền điện tử riêng biệt dưới sự kiểm soát của họ. Quy mô của cuộc tấn công này đã làm nổi bật những điểm yếu bảo mật nghiêm trọng trong cơ sở hạ tầng DeFi.

| Khía cạnh | Chi tiết | |--------|---------| | Số tiền bị đánh cắp | $610 triệu | | Tình trạng phục hồi | 100% (hoàn thành) | | Thời gian phục hồi | 13 ngày | | Bối cảnh lịch sử | Trong số những vụ hack DeFi lớn nhất trong lịch sử |

Điều làm cho trường hợp này đặc biệt khác thường là kết quả cuối cùng. Sau vụ vi phạm, Poly Network đã gọi các hacker là "white hats," một danh xưng gây tranh cãi đã kích thích cuộc tranh luận trong cộng đồng bảo mật. Thuật ngữ này khiến các chuyên gia lo lắng vì họ sợ rằng nó có thể hợp pháp hóa các hoạt động tội phạm dưới vỏ bọc nghiên cứu an ninh. Dù có những lo ngại ban đầu, các hacker cuối cùng đã trả lại tất cả tài sản bị đánh cắp, với số tiền cuối cùng được phát hành khi hacker chia sẻ khóa riêng cần thiết để truy cập số tiền còn lại $268 triệu đã bị khóa trong một tài khoản chung.

Cuộc tấn công Pump.fun: vụ trộm 1.9 triệu đô la làm nổi bật các rủi ro an ninh nội bộ

Nền tảng Pump.fun đã trải qua một vụ vi phạm bảo mật nghiêm trọng vào năm 2023 khi một nhân viên cũ đã lợi dụng quyền truy cập hệ thống, dẫn đến việc đánh cắp khoảng 1,9 triệu đô la trong token SOL. Cuộc tấn công từ bên trong này xảy ra giữa 3:21 chiều và 5:00 chiều UTC vào ngày 16 tháng 5, với kẻ phạm tội đã sử dụng các khoản vay chớp nhoáng để thao túng tính thanh khoản của token thông qua cái được mô tả là một cuộc tấn công "đường cong kết nối". Sự cố này chỉ ảnh hưởng đến một phần tài sản của nền tảng, vì số tiền bị đánh cắp chỉ chiếm một phần nhỏ trong tổng số $45 triệu trong các hợp đồng đường cong kết nối của Pump.fun.

Sau cuộc tấn công, Pump.fun đã phản ứng nhanh chóng với các biện pháp bảo mật nâng cao và một kế hoạch phục hồi rõ ràng. Nền tảng này đã đảm bảo với người dùng rằng các hợp đồng thông minh của nó vẫn an toàn và cam kết bù đắp cho những người dùng bị ảnh hưởng bằng cách cung cấp "100% thanh khoản" trong vòng 24 giờ. Thêm vào đó, Pump.fun đã đặt phí giao dịch ở mức 0% trong tuần tiếp theo để giảm thiểu tổn thất cho người dùng.

Hậu quả đã dẫn đến những hệ quả pháp lý đối với nghi phạm Jarret Dunn, người đã bị bắt giữ tại Vương quốc Anh liên quan đến vụ khai thác. Vụ việc này là một lời nhắc nhở rõ rệt rằng các mối đe dọa nội bộ có thể đặt ra những rủi ro đáng kể cho các nền tảng tiền điện tử, ngay cả những nền tảng được xây dựng trên các nền tảng blockchain an toàn như Solana.