Vào ngày 13 tháng 10 năm 2022, theo nền tảng giám sát bảo mật EagleEye Web3 của Beosin, sàn giao dịch FTX đã bị một cuộc tấn công ăn cắp gas khi nó bị thao túng để trả tất cả phí gas nhằm đúc một lượng lớn mã thông báo XEN cho tin tặc.
Để đối phó với cuộc tấn công này, Coinlive đã mời Beosin, một công ty bảo mật Web3 có trụ sở tại Singapore, phân tích quy trình khai thác cụ thể.
A few transactions of the attacks: 0xc96b84cd834655290aa4bae7de80a3c117cc19d414f5bcf2fb85b8c5544300890x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d690x6bada8e084f8d3b62311f0b6eda10f2690e7542dab75a0de436a640036bccf94
Một trong những địa chỉ của kẻ tấn công: 0x1d371CF00038421d6e57CFc31EEff7A09d4B8760
Một trong những hợp đồng bị tấn công: 0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3
Địa chỉ ví nóng FTX bị tấn công: 0xC098B2a3Aa256D2140208C3de6543aAEf5A94444
Ví dụ: chúng tôi sẽ tập trung vào một giao dịch tấn công cụ thể: (0x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d69)
Trong bước đầu tiên, kẻ tấn công đã triển khai một địa chỉ hợp đồng độc hại trên chuỗi (0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3)
Trong bước thứ hai, tin tặc đã sử dụng địa chỉ ví nóng FTX của mình để chuyển một lượng tiền nhỏ đến địa chỉ hợp đồng độc hại (0xCba9...7FD3) và sau đó sử dụng hợp đồng này để tạo các hợp đồng phụ theo lô.
Vì nhiều hợp đồng được tạo ra trong toàn bộ cuộc tấn công và mỗi khi hợp đồng phụ được thực thi, hợp đồng phụ sẽ tự hủy, vì vậy hình dưới đây được hiển thị làm ví dụ.
Trong bước thứ ba, chức năng dự phòng () của hợp đồng phụ sẽ bắt đầu yêu cầu đúc cho hợp đồng $XEN. Hàm khiếu nạiRank() vượt qua thời hạn (>= 1 ngày) để đúc, chỉ yêu cầu trả phí gas khi gọi mà không có bất kỳ chi phí nào khác liên quan.
Hàm ClaimMintRewardAndShare() dùng để xác nhận quyền sở hữu, chỉ xác định thời hạn có đạt hay không (trường hợp này do hacker đặt là 1 ngày), sau đó có thể rút vô điều kiện về bất kỳ địa chỉ nào. Tuy nhiên, trong quy trình gọi này, người khởi tạo giao dịch là địa chỉ ví nóng FTX, do đó, gas của toàn bộ quá trình gọi được thanh toán bằng địa chỉ ví nóng FTX và địa chỉ đúc $XEN là địa chỉ của kẻ tấn công.
Ba bước trên được lặp lại liên tục theo một chu kỳ. Mỗi lần rút các mã thông báo đã hết hạn và đồng thời bắt đầu một yêu cầu đúc mới.
Cuộc tấn công này chủ yếu lợi dụng thực tế là FTX không áp đặt bất kỳ hạn chế nào đối với địa chỉ hợp đồng của người nhận, cũng như không áp đặt các hạn chế đối với giới hạn gas của ETH, điều này cho phép tin tặc khai thác và đúc mã thông báo $XEN để kiếm lợi nhuận.
Tại thời điểm viết bài, sàn giao dịch FTX đã mất tổng cộng 81 ETH và hacker đã đổi mã thông báo $XEN để chuyển ETH thông qua các sàn giao dịch phi tập trung như DODO và Uniswap.
Biểu đồ theo dõi và chuyển động quỹ của Beosin
Chính quyền Biden đang kêu gọi Quốc hội mở rộng cơ quan quản lý đối với tiền điện tử để chống lại việc sử dụng tiềm năng của nó trong việc tài trợ cho khủng bố, với lý do lo ngại về việc các nhóm như Hamas sử dụng tài sản kỹ thuật số để gây quỹ.
JasperRobinhood, nền tảng giao dịch nổi tiếng, dự kiến mở rộng dịch vụ giao dịch tiền điện tử của mình sang Liên minh Châu Âu (EU) và thành lập một công ty môi giới tại Vương quốc Anh (Anh) trong tương lai gần.
AaronGiám đốc điều hành Wintermute Evgeny Gaevoy cho biết công ty đang xem xét hành động pháp lý chống lại NEAR Foundation và Aurora
ClementGã khổng lồ trò chơi đã bắt đầu chiến dịch đăng ký danh sách cho phép theo Chương 1, mời người hâm mộ đúc miễn phí các bộ sưu tập kỹ thuật số độc quyền.
AlexThứ trưởng Tài chính kêu gọi ngành công nghiệp tiền điện tử ngừng tham gia vào việc hỗ trợ tài chính cho khủng bố.
JixuMạng blockchain Lớp 1 được Kakao hỗ trợ dự định điều tra các phương pháp mã thông báo với sự cộng tác của bộ phận vận chuyển của Korindo, một tập đoàn của Indonesia.
JixuChính quyền Hàn Quốc đã bắt giữ 49 cá nhân và phong tỏa tài sản trị giá 12 triệu bảng Anh liên quan đến một đường dây lừa đảo tiền điện tử quốc tế bị cáo buộc. Nhóm này bị cáo buộc điều hành một nền tảng đầu tư tiền điện tử giả nhằm thu hút các nhà đầu tư từ nước ngoài, dẫn đến thiệt hại hơn 11,5 triệu bảng Anh cho ít nhất 253 nạn nhân, làm nổi bật những lo ngại đang diễn ra về gian lận tiền điện tử ở Hàn Quốc.
JixuTheo báo cáo của OxScope, Binance hiện thống trị với hơn 50% tổng khối lượng giao dịch tiền điện tử trên các sàn giao dịch tập trung. Tuy nhiên, thị phần giao dịch giao ngay của họ đã giảm từ 62% một năm trước xuống còn 40% vào tháng 10 năm 2023, trong khi thị phần phái sinh của họ vẫn ở mức khoảng 50% trong suốt cả năm.
JixuTrong sự cố gần đây nhất, một plugin Xumm lừa đảo đã được phát hiện ẩn trong cửa hàng Chrome trực tuyến, khiến cộng đồng XRPL cảnh giác phải có phản ứng nhanh chóng và phối hợp.
JoyMeta, công ty mẹ của Facebook, giải quyết vấn đề lạm dụng AI trong quảng cáo chính trị, đánh dấu một bước tiến quan trọng trong quy định công nghệ.
Hui Xin