Giao thức DeFi Delta Prime vừa hứng chịu một cuộc tấn công nghiêm trọng thông qua lỗ hổng hợp đồng thông minh, thiệt hại hơn 6 triệu USD .
Sáng ngày 16/9, hacker đã tấn công thành công vào giao thức Delta Prime, chiếm đoạt số tiền lên đến hơn 6 triệu USD. Theo phân tích từ chuyên gia bảo mật blockchain Chaofan Shou và dữ liệu từ Arbiscan, kẻ tấn công đã lợi dụng lỗ hổng trong hợp đồng thông minh, cho phép chúng thực hiện việc nâng cấp để phát hành một lượng lớn token giả mạo.
Cụ thể, hacker đã đánh cắp khóa riêng của nhà phát triển, qua đó giành quyền kiểm soát tài khoản quản trị. Tiếp đó, chúng sử dụng chức năng nâng cấp để chuyển hướng các hợp đồng sang phiên bản độc hại mà chúng kiểm soát. Điều này cho phép hacker tự do phát hành token giả mạo như DPUSDC, DPBTCb, DPWETH và DPARB với số lượng gần như không giới hạn.
Bằng cách đổi một phần nhỏ số token giả mạo này, hacker đã thu về hơn 2,4 triệu USD từ USDC, cùng hơn 1 triệu USD từ Bitcoin, Arbitrum và các token khác. Delta Prime đã xác nhận cuộc tấn công trên nền tảng X (trước đây là Twitter), cho biết phiên bản Arbitrum của giao thức DeltaPrime Blue là mục tiêu chính và thiệt hại ước tính lên tới 5,98 triệu USD. Tuy nhiên, Delta Prime cũng khẳng định phiên bản Avalanche không bị ảnh hưởng, và quỹ bảo hiểm của giao thức sẽ được sử dụng để bù đắp thiệt hại cho người dùng.
Vụ tấn công này tiếp tục là lời cảnh báo về rủi ro bảo mật trong không gian DeFi, đặc biệt là các lỗ hổng liên quan đến hợp đồng thông minh có khả năng nâng cấp. Mặc dù Web3 được thiết kế để phân quyền, việc tập trung quyền kiểm soát vào một khóa duy nhất trong trường hợp này đã tạo ra điểm yếu lớn, cho phép hacker dễ dàng chiếm đoạt toàn bộ hệ thống. Các lỗ hổng trong hợp đồng thông minh tiếp tục là mối đe dọa đối với người dùng Web3.
Chẳng hạn, vào ngày 11 tháng 9, một kẻ tấn công đã rút hơn 1,4 triệu USD từ nhóm thanh khoản của token CUT bằng cách khai thác một đoạn mã khó hiểu, trỏ đến một chức năng chưa được xác minh trên một hợp đồng riêng biệt. Trước đó, vào ngày 3 tháng 9, hơn 27 triệu USD đã bị đánh cắp từ giao thức Penpie khi kẻ tấn công đăng ký thành công hợp đồng độc hại của mình dưới dạng thị trường token.
