611 triệu USD bị đánh cắp: Poly Network hoàn tất thu hồi sau 16 ngày

Poly Network đã thu hồi toàn bộ hơn 611 triệu USD tài sản số bị đánh cắp trong vụ tấn công cầu nối liên chuỗi (cross-chain bridge) năm 2021, chỉ trong khoảng 16 ngày. Kẻ tấn công bắt đầu hoàn trả tài sản trong vòng 24 giờ sau khi chuyển tiền, và việc Tether (USDT) đóng băng một phần token cũng góp phần vào quá trình thu hồi.

Sự việc xảy ra ngày 10 tháng 8 năm 2021 trên ba mạng Ethereum, Binance Smart Chain và Polygon. Poly Network mô tả quy mô thiệt hại là "hơn 611 triệu USD", trong khi Chainalysis ghi nhận con số 612 triệu USD. Một số báo cáo khác đưa ra mức thiệt hại dao động từ 611 triệu đến 613 triệu USD.

Kẻ tấn công đã lợi dụng lỗ hổng trong quy trình xác thực quyền của hợp đồng thông minh liên chuỗi. Theo phân tích, đối tượng đã đi qua luồng executeCrossChainTx để thay đổi quyền keeper của hợp đồng quản lý tài sản, sau đó rút tiền ra ngoài.

Tài sản bị nhắm tới bao gồm Ethereum (ETH), Wrapped Bitcoin (WBTC), USD Coin (USDC) và Tether (USDT). Việc hợp đồng cầu nối - nơi kết nối giao dịch giữa các blockchain khác nhau - quản lý đồng thời nhiều loại tài sản và quyền hạn được xem là nguyên nhân khiến thiệt hại bị đẩy lên cao.

Khác với các vụ đánh cắp tài sản thông thường, sự việc này dẫn tới cuộc đối thoại công khai giữa kẻ tấn công và đội ngũ dự án. Kẻ tấn công để lại thông điệp trên chuỗi (on-chain) bày tỏ ý định hoàn trả, còn Poly Network sau đó công bố địa chỉ nhận tài sản cùng quy trình thu hồi qua ví đa ký (multisig).

Elliptic phân tích rằng sau khi kẻ tấn công bày tỏ ý định trả lại tiền, đối tượng đã bắt đầu chuyển tài sản tới các địa chỉ được chỉ định trên ba blockchain, trong đó có Ethereum. Công ty này cho biết dữ liệu giao dịch công khai trên blockchain cùng việc cộng đồng theo dõi theo thời gian thực đã góp phần hạn chế dòng tiền di chuyển.

Dù việc hoàn trả đã bắt đầu, không phải toàn bộ tài sản được trả lại cho người dùng ngay lập tức. Tính đến ngày 12 tháng 8 năm 2021, khoảng 342 triệu USD đã được thu hồi, trong khi khoảng 268 triệu USD vẫn chưa được hoàn trả.

Một phần tài sản bị khóa trong ví đa ký do cả kẻ tấn công và Poly Network cùng quản lý. Vì ví đa ký cần sự phê duyệt của nhiều người giữ khóa mới có thể di chuyển tài sản, một cá nhân đơn lẻ khó có thể tự ý sử dụng số tiền này.

Poly Network cho biết ngày 23 tháng 8 năm 2021, kẻ tấn công đã công khai khóa cần thiết để thu hồi 28.953 ETH và 1.032 WBTC còn lại. Dự án cho biết nhờ đó, toàn bộ tài sản người dùng bị mất trong vụ tấn công đã được thu hồi đầy đủ.

Tether ngày 25 tháng 8 năm 2021 đã chuyển 33.431.200 USDT từng bị đóng băng tới ví đa ký do Poly Network chỉ định. Một ngày sau, Poly Network công bố quá trình phục hồi tài sản đã hoàn tất.

Vụ việc cho thấy cầu nối liên chuỗi không đơn thuần là kênh chuyển tài sản, mà còn là hệ thống xử lý đồng thời việc xác thực thông điệp giữa các chuỗi và ủy quyền. Điều này đồng nghĩa với việc bảo mật không chỉ nằm ở mã hợp đồng, mà còn ở quản lý khóa, vận hành ví đa ký và quy trình ứng phó khẩn cấp.

Động thái của Tether cho thấy quyền kiểm soát tập trung của đơn vị phát hành stablecoin có thể trở thành một biến số quan trọng trong quá trình thu hồi tài sản. Dù giao dịch trên chuỗi minh bạch, số USDT bị đóng băng vẫn không thể được kẻ tấn công sử dụng trực tiếp cho tới khi Tether chuyển chúng tới ví được chỉ định.

Danh tính kẻ tấn công và động cơ hoàn trả tài sản đến nay vẫn chưa được xác nhận. Một số phân tích lần theo dòng tiền đặt ra khả năng liên quan tới Monero (XMR) và một sàn giao dịch cụ thể, nhưng cũng có ý kiến phản biện về thông tin đăng ký tài khoản và dòng tiền liên quan.

Sau sự việc, Poly Network đã triển khai kiểm toán bảo mật, nâng cấp mainnet và chương trình bug bounty. Dự án cũng công bố chương trình thưởng tổng trị giá 500.000 USD, đồng thời đề xuất tặng 160 ETH và vị trí cố vấn an ninh trưởng cho kẻ tấn công.

Từ đó tới nay, lỗ hổng của các cầu nối liên chuỗi vẫn liên tục là vấn đề được nhắc lại trong ngành tiền mã hóa.