Một lỗ hổng không bị phát hiện qua nhiều đợt kiểm toán đã cho phép kẻ tấn công tạo ra các số dư XRP không có tài sản bảo chứng và rút XRP thật từ quỹ dự trữ của cầu nối.
Một kẻ tấn công đã rút gần 200.000 XRP, trị giá khoảng 202.000 USD, khỏi một cầu nối của XRP Ledger vào ngày 9/8 bằng cách khai thác lỗ hổng trong phần mềm phát hiện giao dịch nạp tiền của hệ thống.
Theo bài đăng trên X của Tx, đơn vị vận hành cầu nối kết nối Tx Chain với XRP Ledger, một lỗi phần mềm đã khiến cầu nối ghi nhận sai một số giao dịch thực tế không hề chuyển bất kỳ XRP nào thành các khoản nạp tiền, từ đó phát hành XRP dạng cầu nối trên Tx Chain dựa trên những giao dịch này. Kẻ tấn công sau đó đã sử dụng số XRP không có tài sản bảo chứng được tạo ra để đổi lấy XRP thật thông qua quy trình thông thường của cầu nối.
Tx, hệ sinh thái blockchain lớp 1 ra mắt vào tháng 3 thông qua việc kết hợp blockchain Coreum với nền tảng Sologenic, cho biết cầu nối đã trải qua nhiều đợt kiểm toán nội bộ và của bên thứ ba trước khi triển khai, nhưng lỗ hổng này không được phát hiện.
Theo phân tích của XRPL, nền tảng độc lập chuyên giao dịch và phân tích XRP Ledger, cầu nối đã giải ngân khoảng 199.916 XRP thông qua 94 khoản thanh toán trong vòng 97 phút, mỗi khoản đều được 17 trong tổng số 28 trình chuyển tiếp của cầu nối phê duyệt. XRPL cho biết các trình chuyển tiếp này đã nhầm các giao dịch mà kẻ tấn công tự chuyển cho chính mình thành các khoản nạp tiền thật.
Phân tích của XRPL cũng bác bỏ nhận định ban đầu cho rằng vụ việc liên quan đến cơ chế “rippling”, tính năng cho phép token phát hành di chuyển qua các đường tín nhiệm trên XRPL, khi khẳng định XRP gốc hoàn toàn không thể được chuyển thông qua cơ chế này và toàn bộ khoản thanh toán đều được ký xác nhận bởi chính cơ chế đa chữ ký của cầu nối.
Tài sản bị đánh cắp đã qua Tornado Cash
Theo Reza Bashash, lãnh đạo tại CoreNest Capital đồng thời là nhà đồng sáng lập Sologenic và Coreum, kẻ tấn công đã chuyển đổi số XRP bị đánh cắp sang Ethereum thông qua THORChain, sau đó đưa toàn bộ vào dịch vụ trộn tiền mã hóa Tornado Cash, khiến việc truy vết trở nên khó khăn hơn đáng kể.
Tx cho biết đã tạm dừng hoạt động của cầu nối, sửa đoạn mã bị ảnh hưởng, truy vết số tài sản bị đánh cắp và gửi đơn khiếu nại tới Trung tâm Tiếp nhận Khiếu nại Tội phạm Internet của FBI, đồng thời thuê các chuyên gia điều tra pháp chứng blockchain và phối hợp với các đối tác an ninh để đánh giá phương án khắc phục cho người dùng bị ảnh hưởng.
Cầu nối hiện vẫn ngoại tuyến trong khi Tx tiến hành rà soát bảo mật, và dự án khuyến cáo người nắm giữ không cần thực hiện hành động nào, đồng thời cảnh báo về các tài khoản hoặc trang web giả mạo tuyên bố có thể giúp thu hồi tài sản bị mất.
Giá XRP không biến động đáng kể bất chấp sự cố, hiện vẫn dao động quanh mức 1 USD với vốn hóa thị trường khoảng 64 tỷ USD, giảm khoảng 5,5% trong 30 ngày qua.
