Lỗ hổng bảo mật làm sàn thanh toán tài chính mất 31 triệu USD

Theo Wired, siêu thị khởi nghiệp blockchain MonoX Finance mới đây thông báo một tin tặc đã đánh cắp được 31 triệu USD bằng cách khai thác một lỗi trong ứng dụng mà phục vụ này sử dụng nhằm soạn thảo hợp đồng thông minh.

MonoX Finance là nạn nhân mới nhất của vụ tấn công vào sàn thanh toán tài chính phi tập trung (DeFi)

MonoX Finance sử dụng một giao thức tài chính phi tập trung được gọi là MonoX tới phép người sử dụng thanh toán những token kỹ thuật số mà ko cần một số yêu cầu của những sàn thanh toán truyền thống. Đại diện của MonoX tới biết “doanh nghiệp sở hữu dự án công trình sở hữu thể liệt kê những token của họ mà ko bắt gặp gánh nặng về yêu cầu vốn và tập trung vào việc sử dụng quỹ nhằm xây dựng dự án công trình thay vì cung cấp thanh khoản”.

Một lỗi kế toán được tích hợp trong ứng dụng của siêu thị này đã tới phép kẻ tấn công tăng giá chỉ token MONO và sau đó sử dụng nó nhằm rút tiền của tất cả những token đã ký gửi khác, MonoX Finance tiết lộ trong một bài đăng.

n

Cụ thể, kẻ tấn công đã sử dụng và một token tới cả tokenIn và tokenOut, là những phương pháp trao đổi tiện ích của token này tới một token khác. MonoX cập nhật giá chỉ sau mỗi lần hoán đổi bằng cách tính giá chỉ mới tới cả hai token. lúc quá trình hoán đổi hoàn tất, giá chỉ của tokenIn – tức là token do người sử dụng gửi – tiếp tục tránh và giá chỉ của tokenOut – token mà người sử dụng nhận được – tăng lên.

Bằng cách sử dụng và một token tới cả tokenIn và tokenOut, tin tặc đã tăng giá chỉ rất cao token MONO vì việc cập nhật tokenOut đã ghi đè lên bản cập nhật giá chỉ của tokenIn. Sau đó, tin tặc đã trao đổi token này nhằm lấy token trị giá chỉ 31 triệu USD trên chuỗi khối Ethereum và Polygon.

Dan Guido, chuyên gia về bảo mật những hợp đồng thông minh tới biết, “Những kiểu tấn công này thường xảy ra trong những hợp đồng thông minh, chính vì nhiều nhà phát triển ko thực hiện đúng quy trình nhằm xác định những thuộc tính bảo mật tới mã của họ. Hợp đồng thông minh cần bằng chứng sở hữu thể kiểm tra được rằng chúng thực hiện những gì quý khách dự định và chỉ những gì quý khách dự định. Điều đó sở hữu nghĩa là những thuộc tính và kỹ thuật bảo mật đã xác định được sử dụng nhằm giới thiệu chúng”.