Peckshield: 5,25 triệu USD bị rút khỏi Hedera và chuyển sang Ethereum trong một vụ nghi ngờ bị khai thác lỗ hổng

Các con số cuối cùng cũng bắt đầu xuất hiện

Peckshield báo cáo rằng mạng Hedera đã bị khai thác, trích dẫn những phát hiện đầu tiên được đưa ra bởi nhà phân tích bảo mật Specter. Theo cảnh báo, 5,25 triệu USD tiền bị đánh cắp đã được chuyển từ mạng chính của Hedera sang Ethereum.

Ban đầu, kẻ tấn công đã nạp vào ví của mình 1 ETH lấy từ Tornado Cash, một dịch vụ trộn tiền giúp che giấu dấu vết của các giao dịch tiền điện tử. Ví này hiện đang nắm giữ khoảng 2.360 ETH trị giá 4,25 triệu USD và 15,58 wrapped bitcoin (WBTC), một phiên bản token hóa của bitcoin được giao dịch trên Ethereum, trị giá gần 1 triệu USD.

Tính đến thời điểm hiện tại, Hedera vẫn chưa xác nhận công khai vụ việc này, và quy mô đầy đủ của vụ trộm ngoài số tiền được chuyển qua cầu vẫn chưa rõ ràng. HBAR, token gốc của mạng lưới, được giao dịch ở mức gần $0,07 vào ngày 11 tháng 7, giảm gần 3% trong 24 giờ qua.

Phản ứng giá khá im ắng dường như cho thấy tình hình vẫn còn ở giai đoạn đầu, vì cả phương thức tấn công lẫn các ứng dụng bị ảnh hưởng đều chưa được xác định công khai, và vẫn chưa rõ liệu các tài khoản người dùng hay thanh khoản ở cấp độ giao thức đã phải chịu tổn thất.

Một kịch bản đã từng xuất hiện trước đây

Mô hình nạp tiền vào ví thông qua một dịch vụ trộn tiền (mixer), thực hiện cuộc tấn công, rồi chuyển số tiền cướp được sang Ethereum đã trở thành một kịch bản tiêu chuẩn trong những năm gần đây. Trên thực tế, các vụ khai thác lỗ hổng cầu nối chuỗi chéo đã gây thiệt hại lên tới 328 triệu USD trong 5 tháng đầu năm, với Bitcoin.com News đưa tin về một số vụ việc như vậy trong tháng qua. Gần đây nhất, một kẻ tấn công đã chuyển đổi 11,5 triệu USD tài sản Verus bị đánh cắp sang ether bằng cách sử dụng một thiết lập Tornado Cash gần như giống hệt.

Đây cũng không phải là vụ việc bảo mật đầu tiên của Hedera, bởi vào tháng 3 năm 2023, các kẻ tấn công đã lợi dụng dịch vụ hợp đồng thông minh của mạng lưới để rút cạn các token trong bể thanh khoản từ các sàn giao dịch phi tập trung như Saucerswap, Pangolin và Heliswap. Cuộc tấn công đó thu về dưới 600.000 USD, và mạng lưới đã triển khai bản vá trong vòng 41 giờ sau khi phát hiện, một thời gian phản ứng mà sự cố hiện tại sẽ được so sánh với.

Trong những ngày tới, mọi sự chú ý sẽ dồn vào đội ngũ Hedera và cách họ xử lý tình huống, đặc biệt là khi họ thậm chí còn chưa xác nhận vụ vi phạm này. Hơn nữa, sẽ rất thú vị để xem liệu kẻ tấn công có bắt đầu luân chuyển 2.360 ETH trở lại qua Tornado Cash hay không. Cho đến lúc đó, số tiền 5,25 triệu USD vẫn nằm trong một ví mà mọi chuyên gia điều tra trên chuỗi trong ngành hiện đang theo dõi.