Vụ đánh cắp 600 triệu USD tiền số diễn ra như thế nào?

3 năm trước 290

Kỷ lục trước đó thuộc về vụ mất cắp 530 triệu USD của sàn giao dịch Coincheck vào tháng 1.2018.

Vụ tấn công khiến Poly Network mất khoảng 600 triệu USD tiền mã hóa, gồm số Ether trị giá 273 triệu USD, 85 triệu USD tiền USDC và 252 triệu USD tiền trên sàn giao dịch Binance.

Đến ngày 12.8, nhóm tin tặc bất ngờ trả lại 260 triệu USD cho Poly Network sau khi nền tảng này gửi thư đe dọa sẽ nhờ tới cơ quan pháp luật can thiệp. Chúng tuyên bố hack để phơi bày lỗ hổng bảo mật của hệ thống và không quan tâm đến tiền. Thực tế, chúng cũng không thể làm gì với số tiền đã cướp được vì mọi hoạt động trên blockchain đều được công khai và ví điện tử đang bị theo dõi sát sao.

Poly Network là nền tảng DeFi (tài chính phi tập trung) giúp người dùng có thể hoán đổi token giữa các blockchain với nhau. Dự án Poly Network hợp tác cùng Ethereum, Binance và Polygon, tạo cơ hội cho bọn tin tặc lợi dụng sơ hở để đánh cắp tiền từ những mạng lưới này.

Theo Decrypt, sau khi vụ việc được công bố, một số chuyên gia an ninh đã thử điều tra nguyên nhân. Một trong những giả thuyết gây tranh cãi là nhân viên của Poly Network đã làm việc này và cố tình đánh lừa dư luận bằng câu chuyện hacker.

Phân tích ban đầu của công ty kiểm toán BlockSec cho biết vụ trộm có thể là kết quả của việc rò rỉ khóa cá nhân (private key) được dùng để ký cross-chain message (cơ chế truyền dữ liệu giữa các blockchain), hoặc tin tặc đã khai thác lỗi trong quá trình truyền dữ liệu nhằm đặt lệnh chuyển tiền giả.

Các chuyên gia khác thì đổ lỗi cho hoạt động bảo mật kém dẫn đến việc tin tặc đánh cắp thành công loạt khóa cá nhân được nhóm Poly Network dùng để ủy quyền giao dịch.

Giữa các nhà nghiên cứu bảo mật vẫn còn nhiều ý kiến mâu thuẫn. Nhóm bảo mật blockchain SlowMist nghiêng về giả thuyết kẻ tấn công lợi dụng lỗ hổng trong hợp đồng thông minh (smart contract) để chiếm quyền người giữ khóa, hướng dòng tiền đến địa chỉ ví của mình. Nhóm này khẳng định: "Vụ việc không phải do rò rỉ khóa cá nhân của khách hàng".

Poly Network đã chia sẻ lại bài viết của SlowMist. Dẫu vậy, Mudit Gupta - nhà phát triển Ethereum hoàn toàn không đồng ý với SlowMist mà nghi ngờ vụ việc có thể do tham nhũng trong nội bộ. Người này cho biết Poly Network dùng ví multisig (ví đa chữ ký), muốn truy cập phải có chìa khóa của nhiều người, khác với loại ví chỉ có 1 chìa khóa do khách hàng nắm giữ. Ví của Poly Network theo mô hình yêu cầu 4 người giữ khóa nhưng chỉ cần 3 chữ ký để truy cập. Theo ông, hacker phải đánh cắp thành công tất cả chìa khóa của những người này, hoặc lừa 3 người còn lại đồng ý ký quỹ cho giao dịch chuyển tiền.

Những nghi ngờ xung quanh việc kẻ tấn công là "tay trong" vẫn chưa đến hồi kết. Theo công ty phân tích CipherTrace, "rug pull" là hình thức lừa đảo tiền ảo phổ biến nhất vào năm ngoái. Đây là tiếng lóng ám chỉ khi chính những người tham gia phát triển một dự án đột ngột bỏ đi, mang theo tiền của nhà đầu tư.