Tin tặc đánh cắp Ethereum trị giá 3,2 triệu USD từ giao thức Conic Finance DeFi

Theo thông tin được truyền thông đăng tải, giao thức tài chính phi tập trung Conic Finance đã mất số Ethereum trị giá hơn 3,2 triệu USD trong hai sự cố hack riêng biệt trong những ngày gần đây.

Cuộc tấn công đầu tiên xảy ra vào ngày 21/07 vừa qua, được Conic Finance mô tả là một "cuộc tấn công vào lại" khai thác lỗ hổng trong nhóm Curve V2, một sàn giao dịch phi tập trung (DEX) dành cho stablecoin sử dụng mô hình tạo lập thị trường tự động (AMM) để quản lý thanh khoản. Ở lần tấn công này, tin tặc đã lấy đi 1.700 token ETH.

Ngay sau khi vụ tấn công bị phát hiện, giao thức đã lên tiếng xoa dịu cộng đồng bằng cách đảm bảo “việc khai thác sẽ không xảy ra trên cùng một Omnipool (pool thanh khoản) và cũng không có Omnipool Conic nào khác bị ảnh hưởng bởi sự cố này”.

1/ Status update:

- The root cause was a re-entrancy attack that was able to be performed because of a wrong assumption as to what address is returned by the Curve Meta Registry for ETH in Curve V2 pools

- A fix to the affected contract is being deployed https://t.co/tqyX8YBgvL

— Conic Finance (@ConicFinance) July 21, 2023

Tuy nhiên chỉ vài giờ sau đó, Conic Finance lại tiếp tục báo cáo rằng họ bị tấn công lần hai, và sự cố này đã rút đi số token trị giá 300.000 USD từ crvUSD Omnipool.

“Để đối phó với điều này và đưa ra khai thác ETH ngày hôm nay, chúng tôi đã ngay lập tức thực thi các biện pháp an toàn tối đa và tạm thời tắt tất cả các Omnipool.”

Nhóm nhấn mạnh rằng cuộc tấn công thứ hai “không liên quan đến hoạt động khai thác vào lại của ETH Omnipool”.

1/ Roughly four hours ago we were alerted of an exploit affecting the $crvUSD Omnipool.

In response to this and given today's ETH exploit, we immediately enforced maximum safety measures and temporarily shutdown all Omnipools. https://t.co/0nS6BR8Hz7

— Conic Finance (@ConicFinance) July 21, 2023

Được biết, sau quá trình điều tra vụ tấn công, Conic Finance thừa nhận sự khó khăn khi cố gắng tìm hiểu lỗ hổng trong giao thức, tạo điều kiện cho những kẻ tấn công chuộc lợi.

“Chúng tôi cảm thấy như bị đánh gục vì tình huống này. Tuy vậy, Conic Finance sẽ làm mọi thức trong khả năng để lấy lại số tiền bị đánh cắp.”

Theo kết quả điều tra sơ bộ, dường như Conic Finance đang cố đổ lỗi cho Curve, cho rằng “các nhóm Curve không cân bằng” đã gây ra lỗ hổng bảo mật.

“Mặc dù chúng tôi đã có sẵn một số cơ chế để đảm bảo rằng chúng tôi không tương tác với các nhóm Curve mất cân bằng, nhưng các giới hạn mà chúng tôi đã đặt ra không đủ chặt chẽ và cho phép kẻ tấn công rút tiền từ từ khỏi nhóm.”

Theo tìm hiểu, trước khi bị tấn công, Conic Finance là một dự án DeFi tương đối mới và mã thông báo của giao thức, CNC, hiện chỉ được liệt kê trên MEXC và CoinEx ngoài một số sàn giao dịch phi tập trung.

VIC Crypto tổng hợp

Bài viết liên quan:

OpenAI “lặng lẽ” tắt công cụ phát hiện AI trên nền tảng

Hơn 1,3 triệu cuộc tấn công lừa đảo tiền điện tử đã bị chặn ở Nga trong nửa đầu năm nay

NFT trị giá hơn 765.000 USD bị đánh cắp sau cuộc tấn công hoán đổi SIM vào Gutter Cat Gang