Pay bridge bị rút 1,92 triệu USD, phân tích ban đầu bác bỏ khả năng lộ khóa

Khoảng 1,92 triệu USD (tương đương khoảng 2,63 tỷ won) tiền ký quỹ của người dùng đã bị rút khỏi Ethereum(ETH) bridge của Pay trong hai giao dịch. Pay cho biết phân tích ban đầu không phát hiện nguyên nhân là khóa riêng tư bị đánh cắp hay tấn công kỹ nghệ xã hội.

Số tiền bị rút là USD Coin(USDC) không lưu ký do người dùng ký quỹ trên Pay Network và Pay Wallet. Pay đã tạm dừng toàn bộ hoạt động ký quỹ, rút tiền, chuyển tiền và thanh toán bằng thẻ để điều tra vụ việc. Unchained đưa tin về sự việc này.

Giao dịch đầu tiên diễn ra lúc 13:21 ngày 24 tháng 9, khi khoảng 1.828.589 USD giá trị USDC được chuyển tới cùng một địa chỉ. Sau giao dịch, bridge còn lại khoảng 95.000 USD.

Khoảng 5 giờ sau, lúc 18:30, thêm 90.202 USD giá trị USDC bị rút. Số dư của bridge giảm xuống còn khoảng 700 USD.

Cả hai giao dịch đều đi qua hàm ‘verifyRollup’, được Pay sử dụng để ghi nhận hoạt động mạng lưới trên Ethereum. Địa chỉ gửi giao dịch cũng là địa chỉ thường được dùng để ghi nhận các lô giao dịch. Trong 200 giao dịch gần nhất do địa chỉ này gửi kể từ cuối tháng 8, tất cả đều gọi cùng một hàm.

Địa chỉ nhận số tiền bị rút từng sử dụng bridge trước khi vụ việc xảy ra. Ngày 22 tháng 9, địa chỉ này ký quỹ 5 USDC rồi rút tiền trong cùng ngày; đến ngày 23 tháng 9, địa chỉ tiếp tục ký quỹ thêm 5 USDC.

Số tiền từ lần rút đầu tiên được chuyển sang một địa chỉ khác sau khoảng 8 phút. Sau đó, số tiền này được hoán đổi thành khoảng 683 Ethereum thông qua UniswapX. Đến 14:39 cùng ngày, phần lớn Ethereum được chia và lưu trữ trong ba ví.

90.202 USDC bị rút trong giao dịch thứ hai vẫn nằm tại địa chỉ nhận cho đến chiều ngày 25 tháng 9.

Pay cho biết kết quả phân tích nguyên nhân gốc ban đầu cho thấy vụ việc “không liên quan đến khóa bị xâm phạm, kỹ nghệ xã hội hoặc cuộc tấn công vào hạ tầng ngoài chuỗi”. Tuy nhiên, công ty đang rà soát kết quả cùng đơn vị kiểm toán và dự kiến công bố báo cáo đã được xác minh trong vài ngày tới.

Pay cho biết đã chuyển địa chỉ của kẻ tấn công cho cơ quan thực thi pháp luật, các sàn giao dịch và công ty phân tích blockchain. Tuy vậy, công ty chưa cho biết có bồi hoàn tài sản cho người dùng hay không và khi nào các chức năng mạng lưới, ví sẽ được khôi phục.

Bridge là cấu trúc giúp di chuyển tài sản giữa các blockchain khác nhau. Trong vụ việc này, hợp đồng rollup ghi nhận hoạt động của Pay trên Ethereum đã trở thành điểm dịch chuyển tiền. Tiền ký quỹ không lưu ký nghĩa là người dùng vẫn nắm quyền kiểm soát tài sản, nhưng nếu cơ chế vận hành hoặc quản lý quyền hạn của hợp đồng bridge gặp vấn đề, chức năng rút tiền cũng có thể bị ảnh hưởng.

Trong một vụ việc trước đây khi các vấn đề bảo mật liên tiếp xuất hiện tại Ethereum bridge và hợp đồng staking, khả năng người dùng rút tiền và thu hồi tài sản sau cuộc tấn công cũng trở thành vấn đề trọng tâm. Với vụ việc lần này, đường đi của số tiền bị rút và phạm vi trách nhiệm sẽ được làm rõ thêm trong báo cáo đã xác minh mà Pay dự kiến công bố.

Pay hiện vẫn tạm dừng hoạt động ký quỹ, rút tiền, chuyển tiền và thanh toán bằng thẻ. Việc bồi hoàn cho người dùng và lịch khôi phục dịch vụ chưa được công bố.

Pay dự kiến công bố báo cáo đã được xác minh sau khi hoàn tất quá trình rà soát của đơn vị kiểm toán.