Hợp đồng chuyển đổi của Fetch.ai bị khai thác, thiệt hại 2,01 triệu USD, kẻ tấn công có liên hệ với NuNet
TREE NEWS đưa tin: Một hợp đồng chuyển đổi trên Ethereum do Fetch.ai vận hành đã bị khai thác, gây thiệt hại khoảng 2,01 triệu USD tài sản tiền mã hóa. Nền tảng bảo mật on-chain Blockaid đã xác định hợp đồng dễ bị tổn thương là TokenConversionManagerV3, bị rút cạn bởi một tài khoản sở hữu bên ngoài (EOA) nắm giữ quyền ủy quyền chuyển đổi hợp lệ. Địa chỉ của kẻ tấn công được liên kết với NuNet, một dự án điện toán phi tập trung trong hệ sinh thái Fetch.ai.
Diễn biến của vụ khai thác
Theo Blockaid, kẻ tấn công đã sử dụng quyền ủy quyền chuyển đổi hợp pháp để thực hiện vụ khai thác. Hợp đồng TokenConversionManagerV3 được thiết kế để tạo điều kiện chuyển đổi token gốc FET của Fetch.ai giữa các mạng blockchain khác nhau, một phần hạ tầng cốt lõi cho chiến lược đa chuỗi của dự án. Bằng cách có được quyền ủy quyền hợp lệ — dù thông qua khóa bị xâm phạm, tấn công lừa đảo, hay lỗ hổng trong logic ủy quyền — kẻ tấn công đã có thể rút cạn tiền mà không kích hoạt cảnh báo ngay lập tức.
Mối liên hệ với NuNet đặc biệt đáng lo ngại. NuNet là một dự án chị em trong hệ sinh thái Fetch.ai, tập trung vào tài nguyên điện toán phi tập trung. Nếu địa chỉ của kẻ tấn công có liên quan đến NuNet, điều đó có thể chỉ ra mối đe dọa nội bộ, một thành viên trong nhóm bị xâm phạm, hoặc một vi phạm bảo mật rộng hơn vượt ra ngoài một hợp đồng duy nhất.
Hàm ý cho ngành
Sự cố này nhấn mạnh những rủi ro dai dẳng mà các cơ chế chuyển đổi xuyên chuỗi và hệ thống ủy quyền trong DeFi phải đối mặt. Các hợp đồng chuyển đổi thường nắm giữ thanh khoản đáng kể và dựa vào các vai trò được tin cậy hoặc chữ ký ngoài chuỗi, khiến chúng trở thành mục tiêu hấp dẫn. Việc kẻ tấn công sử dụng quyền ủy quyền hợp lệ cho thấy vụ khai thác có thể đã được kích hoạt bởi thất bại trong bảo mật vận hành thay vì một lỗi hợp đồng thông minh thuần túy.
- Quản lý ủy quyền là then chốt: Các dự án phải kiểm toán không chỉ mã nguồn mà còn cả quản lý khóa, phân công vai trò và quy trình ký ngoài chuỗi.
- Cầu nối và bộ chuyển đổi xuyên chuỗi vẫn có rủi ro cao: Những thành phần này thường xuyên là mục tiêu vì chúng tập hợp thanh khoản và thường có các giả định tin cậy phức tạp.
- Lây lan trong hệ sinh thái: Mối liên hệ với NuNet làm nổi bật cách một địa chỉ bị xâm phạm duy nhất có thể làm ô nhiễm nhiều dự án trong một hệ sinh thái liên kết.
Triển vọng tương lai
Fetch.ai vẫn chưa đưa ra báo cáo hậu sự cố chi tiết, nhưng sự cố này có khả năng thúc đẩy các yêu cầu về khung ủy quyền mạnh mẽ hơn, bao gồm yêu cầu đa chữ ký, chuyển đổi khóa thời gian và giám sát thời gian thực bởi các công ty bảo mật như Blockaid. Đối với lĩnh vực DeFi rộng lớn hơn, vụ khai thác là lời nhắc nhở rằng ngay cả các hợp đồng đã được kiểm toán cũng có thể bị vượt qua khi quyền truy cập đặc quyền bị lạm dụng. Nhà đầu tư và người dùng nên theo dõi các tiết lộ tiếp theo từ Fetch.ai và NuNet, cũng như bất kỳ chuyển động on-chain nào của số tiền bị đánh cắp, điều có thể cung cấp manh mối về danh tính và ý định của kẻ tấn công.
