GalaChain thất thoát 3 triệu USD, tái sử dụng 74 chữ ký giao dịch lỗi

GalaChain đã bị thất thoát tài sản trị giá khoảng 3 triệu USD (khoảng 4,1 tỷ won). GalaChain cho biết chưa phát hiện bằng chứng cho thấy kẻ tấn công đánh cắp khóa riêng, mà đã thu thập và tái sử dụng 74 chữ ký từ các giao dịch thất bại cách đó tối đa 55 ngày để rút tài sản khỏi 9 ví.

Trong báo cáo phân tích sau sự cố công bố ngày 14 tháng 9, GalaChain cho biết khoảng 2 tỷ GALA và khoảng 37 loại token đã bị chuyển ra ngoài. Giao dịch đơn lẻ lớn nhất đã rút 163.980.000 GALA cùng lúc.

Lỗ hổng phát sinh do cơ chế xử lý giao dịch thất bại kết hợp với phương thức xác minh chữ ký. Dù giao dịch thất bại, nội dung giao dịch đã ký vẫn được lưu trên sổ cái công khai, nhưng khóa duy nhất dùng để ngăn gửi trùng không bị tiêu thụ, khiến cùng một chữ ký có thể được gửi lại.

Phạm vi xác minh chữ ký cũng là một vấn đề. SDK khi đó không suy luận định dạng chữ ký từ tác vụ thực tế được gọi mà sử dụng định nghĩa định dạng có trong yêu cầu để xác minh. Kẻ tấn công đã dùng dữ liệu được ký cho một tác vụ để thực thi tác vụ khác, đồng thời bổ sung các thông tin như địa chỉ nhận và số lượng vốn không có trong chữ ký.

GalaChain cho biết kẻ tấn công đã gửi 1.066 giao dịch vào ngày 18 tháng 8, với khoảng cách trung vị giữa các giao dịch là 4,5 giây. Trong số này, 73,9% được xử lý cách nhau đúng một block.

Lần chuyển tiền trái phép đầu tiên diễn ra lúc 11 giờ 21 phút 54 giây ngày 18 tháng 8 theo giờ Hàn Quốc. GalaChain đã dừng cầu nối lúc 14 giờ 9 phút 19 giây cùng ngày và triển khai bản sửa lỗi lúc 15 giờ 27 phút.

Các giao dịch được sử dụng trong cuộc tấn công có chứa chữ ký hợp lệ. GalaChain cho biết chưa phát hiện bằng chứng khóa riêng, cụm từ hạt giống hoặc mật khẩu của các ví bị ảnh hưởng đã bị đánh cắp. Tuy nhiên, đây là tuyên bố dựa trên hồ sơ nội bộ của công ty và toàn bộ tài liệu liên quan chưa được công khai.

Sự cố cho thấy ngay cả mã nguồn đã trải qua đánh giá bảo mật bên ngoài vẫn có thể phát sinh vấn đề nếu phạm vi xác minh chữ ký khác với phạm vi thực thi thực tế. GalaChain cho biết vấn đề này không được phát hiện trong đợt đánh giá quyền hạn của CertiK vào tháng 11 và tháng 12 năm 2025, cũng như đợt đánh giá SDK của Hashlock vào tháng 1 năm 2026.

Báo cáo kiểm toán của từng đợt đánh giá bảo mật chưa được công khai. Vì vậy, phạm vi kiểm tra và mức độ thử nghiệm vẫn chưa được xác nhận.

Sau đó, GalaChain đã thay đổi để suy luận định dạng chữ ký trực tiếp từ tác vụ thực tế được gọi. Công ty liên kết chữ ký với thông tin về tác vụ, kênh và hợp đồng, bổ sung thời hạn hiệu lực, đồng thời sửa để khóa duy nhất vẫn được duy trì ngay cả khi giao dịch thất bại.

Khóa duy nhất là cơ chế ngăn cùng một giao dịch được gửi lặp lại. Nếu giá trị này vẫn được duy trì đối với giao dịch thất bại, việc thực thi lại yêu cầu đã gửi trước đó sẽ khó hơn, qua đó hạn chế các cuộc tấn công tái sử dụng.

GalaChain cũng triển khai giám sát giao dịch bất thường tại các tài khoản có giá trị lớn và giới hạn tốc độ yêu cầu theo danh tính. Các giao dịch rút tiền qua cầu nối vượt một quy mô nhất định sẽ được kiểm tra thủ công.

Các biện pháp này có thể làm chậm các cuộc tấn công tự động, nhưng vẫn có khả năng khiến giao dịch rút tiền hợp lệ bị trì hoãn hoặc phát sinh nhận diện nhầm do đánh giá của người vận hành. Vì cầu nối là kênh di chuyển tài sản giữa các blockchain khác nhau, quy trình xác minh rút tiền và phê duyệt giao dịch có thể trở thành những điểm tấn công chính.

GalaChain đã báo cáo sự việc lên Trung tâm Khiếu nại Tội phạm Internet của FBI và đề nghị các nền tảng liên quan bảo toàn, đóng băng tài sản. Việc truy dấu dòng tiền và điều tra vẫn đang diễn ra, còn quy mô tài sản thu hồi chưa được công bố.

Điểm cốt lõi của sự cố là các giao dịch thất bại còn lưu trên sổ cái công khai có thể kết hợp với lỗ hổng trong xác minh chữ ký, независимо với việc khóa riêng có bị đánh cắp hay không. GalaChain dự kiến tiếp tục truy dấu dòng tiền và điều tra sau khi áp dụng SDK đã sửa cùng hệ thống giám sát bổ sung.