5,72 triệu USD bị rút sau khi 6 chuỗi Cosmos EVM bị tấn công

Cosmos Labs cho biết trong khoảng thời gian từ ngày 20 đến 25/8, sáu mạng lưới Cosmos EVM đã bị tấn công khai thác lỗ hổng, và kẻ tấn công đã rút thành công khoảng 5,72 triệu USD.

Wu Blockchain dẫn lại nội dung báo cáo rà soát sự cố của Cosmos Labs, cho biết kẻ tấn công đã chuyển khoảng 2,87 triệu USD tài sản bị ảnh hưởng qua cầu nối (bridge) rồi hoán đổi trên sàn giao dịch phi tập trung, đồng thời bán riêng một khoản tài sản khác trị giá khoảng 2,85 triệu USD trên sàn giao dịch tập trung. Các tài khoản sàn giao dịch tập trung liên quan hiện đã bị đóng băng và đang chờ quá trình điều tra.

Lỗ hổng lần này được xác định ảnh hưởng đến các phiên bản Cosmos EVM thấp hơn v0.6.2 hoặc v0.7.2. Cosmos EVM là mô-đun cho phép các chuỗi dựa trên Cosmos SDK tích hợp môi trường thực thi hợp đồng thông minh kiểu Ethereum (ETH).

Trong cấu trúc mà nhiều chuỗi cùng sử dụng chung một mô-đun, một lỗ hổng duy nhất có thể lan sang nhiều mạng lưới độc lập khác nhau. Dù mỗi chuỗi có đơn vị vận hành và tập hợp validator riêng, nhưng lỗi ở tầng thực thi dùng chung vẫn có thể dẫn đến việc chuyển dịch tài sản, tạo khối bất thường và ảnh hưởng đến việc nạp rút.

Sự cố lần này là diễn biến tiếp theo sau khuyến nghị tạm dừng chuỗi liên quan đến sự cố bảo mật từng xảy ra trên mô-đun Cosmos EVM. Khi đó, Cosmos Labs đã khuyến nghị các chuỗi bị ảnh hưởng yêu cầu validator tạm ngừng vận hành chuỗi.

Sau đó, khuyến nghị nâng cấp bản vá cho các chuỗi phiên bản cũ đã được đưa ra, với tiêu chí áp dụng là các phiên bản thấp hơn v0.6.2 hoặc v0.7.2.

Thiệt hại cũng được ghi nhận tại từng chuỗi riêng lẻ. Trong báo cáo rà soát sự cố ngày 20/8, MANTRA Chain cho biết lỗ hổng "tràn số dưới đối với số nguyên không dấu" (unsigned integer underflow) tại tầng kế toán số dư của cosmos/evm — một thành phần phụ thuộc cấp cao — đã bị khai thác.

Theo mô tả, kẻ tấn công đã chuyển 720.923.967,99 token MANTRA từ địa chỉ đốt (burn address) và địa chỉ đa chữ ký (multisig) từ thời điểm khởi tạo mạng, mà không cần quyền truy cập đặc quyền nào. Nội dung này cũng liên quan đến bài tổng hợp tiếp theo về sự cố bảo mật của MANTRA Chain mà TokenPost từng đưa tin trước đó.

Tràn số dưới đối với số nguyên không dấu là lỗ hổng xảy ra khi kết quả tính toán rơi xuống dưới ngưỡng cho phép, khiến việc xử lý giá trị bị lỗi. Nếu vấn đề này xuất hiện ở tầng kế toán số dư, nó có thể dẫn đến hậu quả nghiêm trọng như việc chuyển dịch tài sản dù không có quyền thực sự.

Cosmos Labs thừa nhận rằng khi lỗ hổng này từng được báo cáo qua chương trình bug bounty trước đây, công ty đã đánh giá sai rằng nó không đe dọa đến tài sản người dùng trên mạng lưới chính thức (production network). Công ty cho biết sẽ cải thiện quy trình phân loại mức độ nghiêm trọng và công bố các lỗ hổng cốt lõi.

Bug bounty là hình thức kiểm tra bảo mật trong đó các nhà nghiên cứu bên ngoài báo cáo lỗ hổng để nhận thưởng. Tuy nhiên, việc lỗ hổng có thực sự được ngăn chặn hay không còn phụ thuộc vào cách đánh giá mức độ rủi ro và phạm vi công bố, vá lỗi sau khi nhận được báo cáo.

Nạn nhân trực tiếp của sự việc lần này là các chuỗi Cosmos EVM bị ảnh hưởng cùng người dùng của các chuỗi đó. Việc đóng băng tài khoản trên sàn giao dịch tập trung là điểm khởi đầu cho việc truy vết một phần dòng tiền, nhưng quy mô thu hồi thực tế cũng như thiệt hại cuối cùng tại từng chuỗi vẫn có thể thay đổi tùy theo kết quả điều tra.

Bình luận: Vấn đề đáng quan tâm ở đây không phải là diễn biến giá của Cosmos (ATOM), mà là mức độ an toàn của mô-đun dùng chung và cách các sàn giao dịch xử lý việc nạp rút. Nếu sàn trong nước điều chỉnh chính sách nạp rút đối với các tài sản liên quan, người dùng cần theo dõi đồng thời thông báo từ từng chuỗi lẫn hướng dẫn của sàn giao dịch.

Bước tiếp theo mà Cosmos Labs đưa ra là cải thiện quy trình phân loại mức độ lỗ hổng và công bố thông tin. Quy mô thiệt hại cuối cùng tại từng chuỗi bị ảnh hưởng cũng như khả năng thu hồi tài sản dự kiến sẽ được làm rõ hơn qua quá trình điều tra tài khoản sàn giao dịch tập trung và các báo cáo sự cố tiếp theo của từng mạng lưới.