Fetch.ai công bố phân tích on-chain về cuộc tấn công token FET
TREE NEWS đưa tin: Fetch.ai đã công bố phân tích pháp y on-chain sơ bộ về cuộc tấn công nhắm vào kiến trúc di chuyển token FET và cross-chain của mình, truy vết đường đi từ khóa ký bị xâm phạm đến các ví rút tiền của kẻ tấn công. Khoảng 1,56 triệu USD FET đã bị đánh cắp trong sự cố này. Báo cáo, được công bố qua nền tảng ASI:One, được mô tả rõ ràng là sơ bộ chứ không phải cuối cùng, và Fetch.ai cho biết họ đã cùng với SingularityNET vô hiệu hóa các ví và hợp đồng bị ảnh hưởng trong khi cuộc điều tra vẫn tiếp tục.
Chuỗi tấn công cho thấy điều gì
Thất bại cốt lõi dường như nằm ở quản lý khóa chứ không phải lỗ hổng trong chính hợp đồng token. Một khóa ký bị rò rỉ đã cho kẻ tấn công khả năng ủy quyền các hoạt động gian lận trong hạ tầng di chuyển và bridging — một phần hạ tầng quan trọng mà nhiều người nắm giữ token chỉ tương tác một lần, và do đó hiếm khi được kiểm tra kỹ. Sau khi xâm nhập, kẻ tấn công đã chuyển tiền qua một loạt ví trước khi chuyển đổi chúng, một mô hình rửa tiền mà các nhà phân tích on-chain đã quen theo dõi trên các cầu nối và sàn giao dịch phi tập trung.
Vô hiệu hóa các ví và hợp đồng bị ảnh hưởng là bước ngăn chặn tiêu chuẩn, nhưng nó cũng đặt ra những câu hỏi khó chịu về tính tập trung hóa. Nếu một đội ngũ có thể đóng băng hợp đồng để ngăn kẻ tấn công, thì khả năng tương tự cũng tồn tại như một điểm kiểm soát tiềm tàng đối với tiền của người dùng — một căng thẳng đã định hình các cuộc tranh luận về bảo mật cross-chain trong nhiều năm.
Tại sao di chuyển cross-chain là điểm yếu dai dẳng
- Khóa ký là điểm thất bại đơn lẻ: Các hợp đồng cầu nối và di chuyển thường dựa vào một nhóm nhỏ người ký có đặc quyền, khiến việc xâm phạm khóa trở thành vector tấn công có giá trị cao nhất.
- Cửa sổ di chuyển là giai đoạn rủi ro cao: Các hoán đổi token và di chuyển chuỗi tập trung thanh khoản và hoạt động người dùng vào các hợp đồng tạm thời có thể ít được kiểm chứng thực tế hơn so với mã giao thức cốt lõi.
- Phản ứng sau khai thác rất quan trọng: Tốc độ phát hiện, công bố và ngăn chặn ngày càng quyết định liệu một sự cố trở thành tổn thất được ngăn chặn hay một cuộc khủng hoảng niềm tin rộng lớn hơn.
Con số 1,56 triệu USD là khiêm tốn so với tiêu chuẩn của các vụ hack cầu nối lớn, vốn đã lên tới hàng trăm triệu USD. Nhưng quy mô tổn thất là một đại diện kém cho tầm quan trọng của nó. Artificial Superintelligence Alliance — sự hợp nhất của Fetch.ai, SingularityNET và Ocean Protocol — đã đặt uy tín của mình vào một token thống nhất và hạ tầng có khả năng tương tác. Các thất bại bảo mật trong quá trình chuyển đổi đó đi ngược trực tiếp với luận điểm này.
Triển vọng hướng tới tương lai
Các nhà đầu tư và đơn vị tích hợp giờ đây sẽ theo dõi ba điều: báo cáo pháp y cuối cùng, liệu có khoản tiền nào được thu hồi hoặc truy vết đến địa chỉ nạp tiền của sàn giao dịch tập trung hay không, và những thay đổi vận hành nào sẽ theo sau. Hãy kỳ vọng áp lực hướng tới các sơ đồ đa chữ ký, lưu giữ khóa dựa trên phần cứng, khóa thời gian trên các chức năng đặc quyền, và có thể là kiểm toán bên thứ ba đối với các hợp đồng di chuyển. Đối với lĩnh vực tương tác rộng lớn hơn, bài học này quen thuộc nhưng chưa được học: hạ tầng cross-chain vẫn là nguồn rủi ro thảm khốc tập trung nhất trong crypto, và vệ sinh khóa chính là nơi phần lớn rủi ro đó thực sự tồn tại.
