PANews 9 tháng 5, theo tin từ The Block, sàn giao dịch phi tập trung Bunni đã phát hành một báo cáo tổng kết về sự cố tấn công lỗ hổng vào thứ Ba, sự tấn công này đã dẫn đến tổn thất 8,4 triệu USD. Báo cáo chỉ ra rằng sự tấn công đã ảnh hưởng đến hai pool giao dịch - cặp giao dịch weETH/ETH trên Unichain, cũng như cặp giao dịch USDC/USDT trên Mạng chính Ethereum. Lỗ hổng xuất phát từ vấn đề trong cách làm tròn khi cập nhật số dư nhàn rỗi trong hợp đồng thông minh, vấn đề này xảy ra trong giai đoạn rút tiền của người dùng. Kẻ tấn công đã lợi dụng lỗi này để thực hiện cuộc tấn công cho vay chớp nhoáng, thao túng giá cả và thanh khoản của pool giao dịch.
Đầu tiên, kẻ tấn công đã vay 3 triệu USDT thông qua khoản vay nhanh và thực hiện nhiều lần trao đổi token để thao túng giá, khiến số USDC khả dụng giảm còn 28 wei. Sau đó, kẻ tấn công đã tận dụng 44 lần rút tiền nhỏ với sai số làm tròn, tiếp tục làm cạn kiệt số dư USDC, dẫn đến tổng thanh khoản của pool giao dịch giảm mạnh. Cuối cùng, kẻ tấn công thực hiện một lần trao đổi token lớn để tăng giá, sau đó thực hiện trao đổi ngược lại với giá đã thao túng. Bunni cho biết tất cả các thao tác làm tròn riêng lẻ đều an toàn, nhưng việc kết hợp các thao tác lại tạo ra lỗ hổng. Hiện tại, mã làm tròn đã được cập nhật và việc rút tiền liên chuỗi đã được khôi phục, nhưng các chức năng như gửi tiền, trao đổi vẫn bị tạm dừng. Nền tảng đang hợp tác với các cơ quan thực thi pháp luật để truy dấu các quỹ chuyển vào Tornado Cash và cung cấp 10% quỹ cho kẻ tấn công như một phần thưởng hoàn trả. Trong thời gian tới, sẽ hoàn thiện khung thử nghiệm để đảm bảo phục hồi an toàn toàn diện.
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
Bunni chỉ ra rằng sai số làm tròn của hợp đồng thông minh là nguyên nhân gây ra lỗ hổng khoản vay nhanh 840 triệu đô la.
PANews 9 tháng 5, theo tin từ The Block, sàn giao dịch phi tập trung Bunni đã phát hành một báo cáo tổng kết về sự cố tấn công lỗ hổng vào thứ Ba, sự tấn công này đã dẫn đến tổn thất 8,4 triệu USD. Báo cáo chỉ ra rằng sự tấn công đã ảnh hưởng đến hai pool giao dịch - cặp giao dịch weETH/ETH trên Unichain, cũng như cặp giao dịch USDC/USDT trên Mạng chính Ethereum. Lỗ hổng xuất phát từ vấn đề trong cách làm tròn khi cập nhật số dư nhàn rỗi trong hợp đồng thông minh, vấn đề này xảy ra trong giai đoạn rút tiền của người dùng. Kẻ tấn công đã lợi dụng lỗi này để thực hiện cuộc tấn công cho vay chớp nhoáng, thao túng giá cả và thanh khoản của pool giao dịch. Đầu tiên, kẻ tấn công đã vay 3 triệu USDT thông qua khoản vay nhanh và thực hiện nhiều lần trao đổi token để thao túng giá, khiến số USDC khả dụng giảm còn 28 wei. Sau đó, kẻ tấn công đã tận dụng 44 lần rút tiền nhỏ với sai số làm tròn, tiếp tục làm cạn kiệt số dư USDC, dẫn đến tổng thanh khoản của pool giao dịch giảm mạnh. Cuối cùng, kẻ tấn công thực hiện một lần trao đổi token lớn để tăng giá, sau đó thực hiện trao đổi ngược lại với giá đã thao túng. Bunni cho biết tất cả các thao tác làm tròn riêng lẻ đều an toàn, nhưng việc kết hợp các thao tác lại tạo ra lỗ hổng. Hiện tại, mã làm tròn đã được cập nhật và việc rút tiền liên chuỗi đã được khôi phục, nhưng các chức năng như gửi tiền, trao đổi vẫn bị tạm dừng. Nền tảng đang hợp tác với các cơ quan thực thi pháp luật để truy dấu các quỹ chuyển vào Tornado Cash và cung cấp 10% quỹ cho kẻ tấn công như một phần thưởng hoàn trả. Trong thời gian tới, sẽ hoàn thiện khung thử nghiệm để đảm bảo phục hồi an toàn toàn diện.