Quỹ cầu nối chưa được yêu cầu bất ngờ di chuyển sau cảnh báo công khai
TREE NEWS đưa tin: Theo công ty bảo mật on-chain BlockSec Phalcon, khoảng 3,55 triệu USD quỹ cầu nối chuỗi chéo chưa được yêu cầu đã được thu thập và chuyển ra khỏi một địa chỉ khoảng sáu giờ trước cảnh báo giám sát. Động thái này diễn ra sau nhiều thông điệp công khai lặp lại từ nhà nghiên cứu on-chain stuckfunds.eth, người đã dành nhiều ngày cố gắng thông báo cho chủ địa chỉ rằng số tiền vẫn có thể truy cập được.
Giao dịch này đặt ra câu hỏi ngay lập tức: ai đã ủy quyền yêu cầu? BlockSec tuyên bố rằng nguồn ủy quyền vẫn chưa rõ ràng, để ngỏ khả năng một bên thứ ba đã quét số tiền không thuộc về họ, hoặc chủ sở hữu hợp pháp cuối cùng đã phản hồi các cảnh báo.
Tại sao quỹ cầu nối chưa được yêu cầu là mục tiêu dai dẳng
Cầu nối chuỗi chéo đã trở thành một trong những bề mặt bị khai thác nhiều nhất trong tài chính phi tập trung. Không giống như chuyển khoản ví đơn giản, cầu nối thường dựa vào thiết kế dựa trên yêu cầu, nơi người dùng phải gửi bằng chứng hoặc chữ ký để giải phóng token trên chuỗi đích. Nếu người dùng không yêu cầu, số tiền có thể nằm trong hợp đồng hoặc địa chỉ trung gian trong nhiều tháng hoặc nhiều năm.
Trạng thái ngủ đông đó tạo ra ba rủi ro riêng biệt:
- Xâm phạm khóa: Nếu thông tin xác thực yêu cầu ban đầu bị rò rỉ, kẻ tấn công có thể rút hết số dư mà không kích hoạt khai thác hợp đồng.
- Thông báo chạy trước: Cảnh báo công khai một địa chỉ về số tiền chưa được yêu cầu có thể thu hút các tác nhân độc hại giám sát mempool và kênh xã hội.
- Quyền sở hữu mơ hồ: Không có danh tính on-chain rõ ràng, bất kỳ ai có chữ ký hợp lệ đều có thể trông hợp pháp.
Chiến dịch stuckfunds.eth làm nổi bật một thực hành đang phát triển trong tiền mã hóa: các nhà nghiên cứu mũ trắng công khai gắn thẻ địa chỉ ngủ đông để trả lại tiền. Nhưng công bố công khai là con dao hai lưỡi. Nó có thể đoàn tụ người dùng với tài sản, nhưng cũng phát sóng mục tiêu cho toàn bộ thị trường.
Bảo mật cầu nối đang cải thiện, nhưng logic yêu cầu vẫn tụt hậu
Các nhà điều hành cầu nối lớn đã chuyển sang kiến trúc dựa trên ý định và trình giải quyết để giảm cửa sổ cho số dư chưa được yêu cầu. Tuy nhiên, các hợp đồng cũ và cầu nối đuôi dài vẫn giữ giá trị đáng kể trong tình trạng lấp lửng. Giám sát của BlockSec cho thấy ngành vẫn thiếu kênh thông báo an toàn, tiêu chuẩn hóa cho quỹ ngủ đông.
Sự chú ý của cơ quan quản lý cũng đang tăng lên. Khi dòng chảy chuỗi chéo tăng, các cơ quan chức năng ngày càng tập trung vào việc liệu nhà điều hành cầu nối có thể xác định chủ sở hữu hưởng lợi hay không và liệu tài sản chưa được yêu cầu có nên được coi là tài sản bị bỏ rơi hay không. Điều đó có thể đẩy các giao thức hướng tới cơ chế thu hồi khóa thời gian hoặc ký quỹ lưu ký.
Điều gì cần theo dõi tiếp theo
Câu hỏi chính là liệu giao dịch 3,55 triệu USD là thu hồi hợp pháp hay quét trái phép. Pháp y on-chain có khả năng sẽ truy vết các ví đích, địa chỉ nạp sàn giao dịch và bất kỳ giao dịch hoán đổi tiếp theo nào. Nếu tiền đi qua sàn giao dịch tập trung, cơ quan thực thi pháp luật hoặc nhóm tuân thủ có thể đóng băng chúng.
Đối với người dùng cầu nối, bài học rất rõ ràng: yêu cầu kịp thời, giám sát hợp đồng chuỗi đích và tránh để tài sản ở trạng thái trung gian. Đối với các giao thức, sự cố này củng cố nhu cầu về nhắc nhở yêu cầu tự động, đường thu hồi giới hạn thời gian và nhật ký ủy quyền rõ ràng hơn. Cho đến lúc đó, quỹ cầu nối chưa được yêu cầu sẽ vẫn là bề mặt tấn công âm thầm nhưng dai dẳng trong DeFi.
