Drift Protocol, một sàn giao dịch phi tập trung (DEX) hàng đầu trên Solana, vừa xác nhận đã trở thành mục tiêu của một vụ tấn công exploit trị giá khoảng 280 triệu USD. Đại diện Drift mô tả đây là một “chiến dịch cực kỳ tinh vi”, gây chấn động cộng đồng crypto.
Nền tảng này đã nhanh chóng thông báo trên X về những phát hiện ban đầu từ cuộc điều tra. Theo đó, những kẻ tấn công đã lợi dụng tính năng “durable nonces” của Solana – một cơ chế cho phép các giao dịch được ký trước – để giành quyền kiểm soát và rút cạn tài sản. Trước đó, Drift Protocol đã phải đình chỉ mọi hoạt động nạp và rút tiền, đồng thời phối hợp với các công ty bảo mật, cầu nối và sàn giao dịch để đối phó với cuộc tấn công đang diễn ra.
Vụ việc bắt đầu vào thứ Tư, khi nhiều loại tài sản bị đánh cắp, bao gồm cả USDC của Circle và nhiều altcoin khác. Dữ liệu trên chuỗi sau đó cho thấy, kẻ khai thác đã nhanh chóng chuyển phần lớn tài sản thành USDC và sau đó đưa số tiền này sang mạng Ethereum.
Sự cố này đã thu hút sự chú ý đặc biệt không chỉ vì nó liên quan đến việc lạm dụng một tính năng giao dịch hợp lệ của Solana thay vì lỗi hợp đồng thông minh thông thường, mà còn bởi số tiền bị đánh cắp đã di chuyển qua các chuỗi trong nhiều giờ mà không hề bị đóng băng. Điều này đã đặt ra nhiều câu hỏi nghiêm trọng về trách nhiệm can thiệp của các nhà phát hành stablecoin tập trung như Circle.
**Durable Nonce của Solana là gì và tại sao nó bị lợi dụng?**
Durable nonces là một tính năng độc đáo của Solana cho phép các giao dịch bỏ qua một số cửa sổ hết hạn nhất định. Nó giúp người dùng có thể ký trước các giao dịch để thực hiện trong tương lai, ký ngoại tuyến hoặc thực hiện các quy trình đa chữ ký phức tạp.
Drift cho biết, kẻ tấn công đã sử dụng các giao dịch được ký trước dựa trên durable nonce để giành quyền truy cập quản trị trái phép và thực hiện các hành động độc hại một cách nhanh chóng ngay sau khi gửi.
Mặc dù durable nonces không thường xuyên liên quan đến các vụ exploit lớn, nhưng các nhà phát triển đã lưu ý rằng các tính năng cho phép thực hiện giao dịch bị trì hoãn có thể tạo ra sự phức tạp và tiềm ẩn rủi ro nếu bị lạm dụng hoặc kết hợp với các lỗ hổng khác.
**Circle Phản Ứng Thờ Ơ Hay “Bất Lực”?**
Vụ việc đã làm dấy lên làn sóng chỉ trích mạnh mẽ đối với Circle, nhà phát hành stablecoin USDC, khi kẻ tấn công có tới hàng giờ để chuyển đổi 270 triệu USD sang stablecoin này trước khi cầu nối chúng sang Ethereum.
Chuyên gia theo dõi on-chain ZachXBT cùng nhiều người khác đã lên tiếng rằng Circle có ít nhất sáu giờ để đóng băng số tiền này nhưng đã không hành động. Điều này trái ngược hoàn toàn với các trường hợp trước đây khi các ví bị đánh cắp đã được đưa vào danh sách đen một cách nhanh chóng.
Một số nhân vật trong ngành đã chỉ ra khoảng cách giữa khả năng đóng băng tiền của Circle và nghĩa vụ pháp lý phải làm như vậy.
“Circle có thể đóng băng nó. Nhưng họ không bắt buộc phải làm thế,” người dùng ẩn danh Molu viết trên X, và nói thêm rằng các khuôn khổ pháp lý được đề xuất như Đạo luật GENIUS có thể thay đổi động lực này bằng cách yêu cầu can thiệp theo các quy tắc đã được hoàn thiện.
Sự cố này một lần nữa làm nóng cuộc tranh luận đang diễn ra về việc liệu các nền tảng tập trung có nên can thiệp trong các vụ tấn công hay không. ZachXBT đã nhiều lần chỉ trích Circle về vấn đề này.
Trước đây, nhà điều tra này từng đặt câu hỏi về phản ứng của Circle đối với số USDC liên quan đến một vụ hack của Bybit vào cuối tháng 2. Điều này đã thúc đẩy CEO của Circle, Jeremy Allaire, lên tiếng rằng công ty chỉ hành động theo yêu cầu của cơ quan thực thi pháp luật trước khi đóng băng tài sản.
tienso.org cam kết đưa tin độc lập và minh bạch. Bài viết này được sản xuất theo Chính sách Biên tập của tienso.org và nhằm cung cấp thông tin chính xác, kịp thời. Độc giả được khuyến khích tự mình xác minh thông tin.
