Giao thức chuỗi chéo ZKLink bị tấn công, thiệt hại 783.000 USD
TREE NEWS đưa tin: Giao thức chuỗi chéo ZKLink đã bị xâm phạm bảo mật dẫn đến thiệt hại khoảng 783.000 USD. Theo SlowMist, kẻ tấn công đã khai thác lỗ hổng trong xử lý lưu trữ tạm thời của giao thức để giả mạo gốc lô và thực hiện rút tiền trái phép. Sự cố liên quan đến ít nhất 1 ETH, mặc dù phân tích tài sản đầy đủ vẫn đang được điều tra.
Diễn biến cuộc tấn công
Cuộc khai thác tập trung vào lưu trữ tạm thời, một tính năng EVM tương đối mới được giới thiệu với EIP-1153 cho phép lưu trữ dữ liệu với chi phí thấp trong suốt một giao dịch. Phân tích của SlowMist chỉ ra rằng việc triển khai của ZKLink đã không xác thực đúng các gốc lô bắt nguồn từ lưu trữ tạm thời, cho phép kẻ tấn công tạo bằng chứng gian lận và bắt đầu rút tiền mà không có khoản gửi hợp lệ.
Lưu trữ tạm thời được thiết kế để giảm chi phí gas cho dữ liệu tạm thời, nhưng bản chất phù du của nó đưa ra những giả định bảo mật tinh tế. Nếu một giao thức dựa vào lưu trữ tạm thời cho các chuyển đổi trạng thái quan trọng—chẳng hạn như xác minh lô trong ZK-rollup hoặc nhắn tin chuỗi chéo—bất kỳ lỗ hổng nào trong logic xác thực đều có thể gây thảm họa.
Hàm ý ngành
Sự cố này nhấn mạnh những rủi ro ngày càng tăng liên quan đến các tính năng EVM mới được tích hợp vào hệ thống DeFi sản xuất trước khi tác động bảo mật của chúng được hiểu đầy đủ. Mặc dù ZKLink chưa đưa ra báo cáo hậu sự chi tiết, mô hình tấn công này có thể sẽ thúc đẩy các giao thức chuỗi chéo khác kiểm toán việc sử dụng lưu trữ tạm thời của họ.
- Cầu nối chuỗi chéo vẫn là mục tiêu chính: Cuộc khai thác này bổ sung vào danh sách dài các vụ hack cầu nối và khả năng tương tác đã cùng nhau rút hàng tỷ USD khỏi DeFi.
- Lỗ hổng kiểm toán: Lỗ hổng cho thấy ngay cả các giao thức đã được kiểm toán cũng có thể bỏ qua các trường hợp biên do nâng cấp EVM gần đây.
- Giám sát quy định: Khi thiệt hại tăng lên, các cơ quan quản lý có thể đẩy nhanh nỗ lực áp đặt tiêu chuẩn bảo mật đối với cơ sở hạ tầng DeFi.
Tiếp theo là gì
ZKLink dự kiến sẽ công bố báo cáo sự cố đầy đủ và có thể theo đuổi các nỗ lực phục hồi, mặc dù bản chất ẩn danh của kẻ tấn công trên chuỗi khiến việc hoàn trả không chắc chắn. Bài học rộng lớn hơn cho các nhà phát triển DeFi là rõ ràng: lưu trữ tạm thời rất mạnh mẽ nhưng đòi hỏi xác thực nghiêm ngặt. Các giao thức nên đối xử với nó một cách thận trọng như bất kỳ cơ chế thay đổi trạng thái nào khác và đưa nó vào xác minh hình thức khi có thể.
Khi hoạt động chuỗi chéo phát triển, ngành công nghiệp phải ưu tiên đổi mới bảo mật song song với khả năng mở rộng. Cho đến lúc đó, người dùng được khuyến nghị theo dõi các kênh chính thức của ZKLink để cập nhật và xem xét rủi ro khi tương tác với các hợp đồng chưa được kiểm toán hoặc mới được nâng cấp.
