Initia xác nhận thiệt hại 2,7 triệu USD trong vụ khai thác bộ nhớ đệm script MoveVM
TREE NEWS đưa tin: Initia đã công bố báo cáo hậu sự cố về vụ việc bảo mật ngày 23 tháng 10, xác nhận rằng kẻ tấn công đã lợi dụng lỗ hổng trong bộ nhớ đệm script của MoveVM để vượt qua các kiểm tra an toàn và tạo ra WETH, iUSD cùng các tài sản định giá bằng USD không có bảo đảm. Trạng thái giả mạo cho phép kẻ tấn công thổi phồng số dư một cách nhân tạo và rút khoảng 2,7 triệu USD trước khi giao thức can thiệp.
Diễn biến của cuộc tấn công
Theo kết quả điều tra, lỗ hổng nằm trong cơ chế bộ nhớ đệm script của triển khai MoveVM trên Initia. Bằng cách thao túng trạng thái script được lưu trong bộ nhớ đệm, kẻ tấn công đã lách được lớp xác thực vốn đảm bảo rằng các tài sản được tạo ra phải được thế chấp đầy đủ. Kết quả là một vụ khai thác “trạng thái giả” điển hình: hệ thống chấp nhận số dư bịa đặt như hợp lệ, cho phép kẻ tấn công rút giá trị khỏi các pool thanh khoản và hợp đồng bridge.
Sự cố làm nổi bật một chủ đề lặp lại trong các kiến trúc blockchain mô-đun, nơi các triển khai máy ảo tùy chỉnh và các lớp bộ nhớ đệm tạo ra bề mặt tấn công mà các cuộc kiểm toán tiêu chuẩn không phải lúc nào cũng bao phủ. Initia, vốn định vị mình là một hệ sinh thái rollup đan xen được xây dựng trên MoveVM, hiện đang đối mặt với sự soi xét về cách các tối ưu hóa của mình tương tác với các bất biến an toàn cốt lõi.
Hàm ý cho ngành
Vụ khai thác nhấn mạnh ba rủi ro cấu trúc trong bối cảnh DeFi hiện nay:
- Độ phức tạp của lớp VM: Khi các chuỗi fork và tùy biến môi trường thực thi, phạm vi kiểm toán mở rộng. Một tối ưu hóa bộ nhớ đệm nhằm mục đích hiệu năng có thể trở thành lỗ hổng cấp độ đồng thuận.
- Thế chấp chéo tài sản: Việc tạo ra WETH và các tài sản giống stablecoin không có bảo đảm làm xói mòn các giả định tin cậy làm nền tảng cho bridge và thị trường cho vay. Nếu tài sản không có bảo đảm đi vào lưu hành, chúng có thể làm nhiễm bẩn các pool trên các rollup được kết nối.
- Tốc độ phản ứng sự cố: Khả năng kiểm soát thiệt hại ở mức gần 2,7 triệu USD thay vì bị rút cạn toàn bộ giao thức phản ánh năng lực giám sát và tạm dừng đang trưởng thành — nhưng cũng đặt ra câu hỏi liệu các cơ chế kiểm soát như vậy có nên được phi tập trung hóa hay không.
Những gì tiếp theo
Việc Initia công bố thông tin có thể sẽ thúc đẩy nhu cầu về xác minh hình thức mã cấp VM và giám sát bất biến theo thời gian thực nhằm phát hiện các bất thường trạng thái trước khi giá trị rời khỏi hệ thống. Đối với hệ sinh thái mô-đun rộng lớn hơn, sự kiện này là lời nhắc rằng khả năng tương tác khuếch đại cả tính hữu ích lẫn sự lây lan: một lỗ hổng trong một lớp thực thi có thể lan truyền qua thanh khoản được chia sẻ.
Nhà đầu tư và nhà xây dựng nên theo dõi kế hoạch khắc phục chi tiết, bao gồm việc thiết kế bộ nhớ đệm script có được tái kiến trúc hay không và liệu người dùng bị ảnh hưởng có được bồi hoàn hay không. Sự cố cũng có thể củng cố lập luận cho các gói bảo hiểm kiểu bảo hiểm và các tiêu chuẩn kiểm toán nghiêm ngặt hơn bao phủ các sửa đổi VM tùy chỉnh — những lĩnh vực mà ngành này trước đây đã đầu tư chưa đủ.
