Troves Vault bị khai thác lỗ hổng rút mất 8.6 BTC trên Starknet
TREE NEWS đưa tin: Troves, một nền tảng chiến lược lợi suất DeFi trên Starknet, đã công bố rằng vault xWBTC/WBTC của mình bị khai thác lỗ hổng vào ngày 31 tháng 10, gây thiệt hại ban đầu khoảng 8.6 BTC. Nền tảng đã tạm dừng ba vault và đang tích cực truy vết số tiền bị đánh cắp.
Theo điều tra sơ bộ của nền tảng, vụ tấn công liên quan đến một hợp đồng đã bị thay thế nhưng vẫn còn hoạt động, cho phép kẻ tấn công thao túng kế toán nội bộ của vault và rút cạn tài sản. Troves chưa công bố báo cáo phân tích đầy đủ nhưng xác nhận đang phối hợp với các công ty bảo mật và nhà phân tích on-chain để thu hồi số tiền.
Phân tích kỹ thuật
Vụ khai thác làm nổi bật một lỗ hổng tái diễn trong DeFi: các hợp đồng thông minh lỗi thời hoặc bị ngừng sử dụng không đúng cách nhưng vẫn giữ quyền hạn hoặc tương tác với các vault đang hoạt động. Trong trường hợp này, hợp đồng bị thay thế dường như vẫn duy trì một đường dẫn đến tiền của vault, cho phép kẻ tấn công vượt qua các biện pháp bảo vệ dự kiến.
Vault xWBTC/WBTC của Troves được thiết kế để tạo lợi suất trên Bitcoin được bọc (wrapped Bitcoin) thông qua các chiến lược tự động. Khoản lỗ 8.6 BTC—trị giá khoảng 600,000 USD theo giá hiện tại—chiếm một phần đáng kể trong tổng giá trị khóa (TVL) của vault, mặc dù nền tảng chưa công bố con số TVL chính xác.
Hàm ý cho ngành
Sự cố này nhấn mạnh những rủi ro dai dẳng trong các trình tổng hợp lợi suất DeFi, đặc biệt là những nền tảng hoạt động trên các mạng Layer 2 mới nổi như Starknet. Mặc dù Starknet mang lại lợi ích về khả năng mở rộng, nhưng sự phức tạp của các tương tác giữa các hợp đồng và mức độ chưa trưởng thành của một số công cụ có thể làm tăng bề mặt tấn công.
- Vệ sinh hợp đồng thông minh: Các giao thức phải đảm bảo rằng các hợp đồng đã ngừng sử dụng được vô hiệu hóa hoàn toàn và không thể tương tác với các hệ thống đang hoạt động.
- Kiểm toán và giám sát: Việc đánh giá bảo mật liên tục và phát hiện bất thường theo thời gian thực là thiết yếu đối với các vault nắm giữ tiền của người dùng.
- Bảo hiểm và các biện pháp phòng ngừa: Sự cố có thể làm dấy lên lại các lời kêu gọi về bảo hiểm on-chain hoặc các mô-đun an toàn được hỗ trợ bởi treasury để bảo vệ người dùng.
Hệ sinh thái DeFi rộng lớn hơn đã chứng kiến một làn sóng khai thác lỗ hổng trong năm 2023, với thiệt hại vượt quá 1 tỷ USD trên nhiều chuỗi khác nhau. Mặc dù Starknet tương đối được cách ly khỏi các sự cố lớn, vụ tấn công này là lời nhắc nhở rằng không có mạng lưới nào là miễn nhiễm.
Triển vọng tương lai
Phản ứng của Troves—tạm dừng vault và truy vết tiền—là một bước tiêu chuẩn nhưng quan trọng. Khả năng thu hồi tiền của nền tảng sẽ phụ thuộc vào việc kẻ tấn công di chuyển tài sản và sự hợp tác với các sàn giao dịch tập trung và cầu nối. Về lâu dài, sự cố có thể đẩy nhanh việc áp dụng xác minh hình thức và các khung bảo mật dạng mô-đun trong hệ sinh thái DeFi của Starknet.
Đối với người dùng, bài học chính là đa dạng hóa mức độ tiếp xúc giữa các giao thức và theo dõi các công bố bảo mật. Đối với nhà phát triển, vụ khai thác là một bài học cảnh báo về quản lý vòng đời của hợp đồng thông minh. Khi DeFi trưởng thành, bảo mật vận hành nghiêm ngặt sẽ quan trọng không kém các chiến lược lợi suất đổi mới.
