- Các tài sản được chuyển bao gồm StakeWise Staked Ether (OSETH), Wrapped Ether (WETH) và Lido wstETH (wSTETH).
- Vào tháng 9 năm 2023, Balancer đã chịu một cuộc tấn công phishing dẫn đến thiệt hại khoảng 238.000 đô la.
- Một vụ khai thác riêng biệt vào tháng 8 đã rút gần 1 triệu đô la sau khi phát hiện lỗ hổng trong các pool thanh khoản của Balancer.
Một vụ khai thác nghi ngờ liên quan đến gần 70 triệu đô la tài sản số đã một lần nữa đặt Balancer, một trong những sàn giao dịch phi tập trung hàng đầu trên Ethereum, vào tâm điểm giám sát.
Sự cố này đã làm dấy lên cuộc tranh luận về vấn đề an ninh của tài chính phi tập trung (DeFi), nơi tính minh bạch và tự động hóa thường song hành với những lỗ hổng cấu trúc sâu sắc.
Nó cũng cho thấy các tính năng cốt lõi của DeFi như quyền truy cập không cần cấp phép, mã nguồn mở và hợp đồng thông minh có thể kết hợp dễ dàng trở thành điểm yếu khi bị các hacker có kỹ năng nhắm tới.
Đối với Balancer, vụ vi phạm này bổ sung vào danh sách ngày càng dài các sự cố mạng đang định hình lại nhận thức về rủi ro trong tài chính số và thúc đẩy lời kêu gọi tăng cường phòng thủ phối hợp trong toàn hệ sinh thái DeFi.
70 triệu đô la tài sản liên kết với Ether được chuyển sang ví mới
Dữ liệu blockchain trên Etherscan cho thấy 70,9 triệu đô la tài sản đã được chuyển từ các pool thanh khoản của Balancer sang một ví mới tạo qua ba giao dịch.
Dữ liệu từ công ty phân tích Nansen xác định các tài sản được chuyển gồm 6.850 StakeWise Staked Ether (OSETH), 6.590 Wrapped Ether (WETH) và 4.260 Lido wstETH (wSTETH).
Các nhà phân tích on-chain đã bắt đầu theo dõi hành vi của ví này, nhận thấy những điểm tương đồng với các mô hình rút tiền trước đây trong DeFi.
Công ty bảo mật blockchain Cyvers báo cáo rằng có tới 84 triệu đô la giao dịch đáng ngờ trên nhiều chuỗi có thể liên quan đến Balancer.
Công ty hiện đang phân tích liệu các giao dịch này có được phối hợp thông qua lỗ hổng hợp đồng thông minh hay được hỗ trợ bởi một vụ khai thác bên ngoài tận dụng dòng thanh khoản giữa các giao thức.
Lịch sử các cuộc tấn công tại Balancer
Vào tháng 9 năm 2023, trang web của giao thức đã bị xâm nhập thông qua việc chiếm quyền kiểm soát hệ thống tên miền (DNS), chuyển hướng người dùng đến một giao diện phishing.
Các hacker đã thực thi các hợp đồng thông minh độc hại nhằm chiếm đoạt khóa riêng và rút tiền, dẫn đến thiệt hại khoảng 238.000 đô la, theo nhà điều tra blockchain ZachXBT.
Chỉ một tháng trước đó, vào tháng 8, Balancer đã báo cáo một vụ khai thác stablecoin khiến các nhà cung cấp thanh khoản thiệt hại gần 1 triệu đô la.
Sự cố đó xảy ra ngay sau khi đội ngũ tiết lộ một “lỗ hổng nghiêm trọng” ảnh hưởng đến một số pool thanh khoản, đã được giảm thiểu một phần nhưng vẫn có thể bị khai thác trong các cấu hình nhất định.
Việc các sự cố liên tiếp xảy ra trong thời gian ngắn như vậy cho thấy bản chất mã nguồn mở của DeFi, dù thúc đẩy đổi mới, cũng cung cấp cho hacker một bản thiết kế liên tục phát triển để nhắm vào các điểm yếu của giao thức.
Những vụ vi phạm này chứng minh rằng kiểm toán bảo mật đơn thuần là chưa đủ nếu không có hệ thống giám sát on-chain liên tục và các biện pháp giảm thiểu rủi ro theo thời gian thực.
Nghịch lý an ninh của DeFi
Trường hợp của Balancer minh họa một nghịch lý cốt lõi trong tài chính phi tập trung.
Bằng cách loại bỏ các bên trung gian, các giao thức đạt được tính minh bạch và tự chủ, đồng thời cũng loại bỏ khả năng can thiệp khi tài sản bị chiếm đoạt.
Không giống như các sàn giao dịch tập trung có thể đóng băng hoặc đảo ngược giao dịch, các giao thức DeFi vận hành dựa trên hợp đồng thông minh bất biến.
Một khi bị khai thác, tổn thất là vĩnh viễn và thường không thể phục hồi.
Sự cứng nhắc về cấu trúc này đã bị các nhà đầu tư tổ chức chỉ trích, coi đó là rào cản cho việc áp dụng quy mô lớn.
Để đáp lại, một số dự án DeFi đã giới thiệu các lớp phòng thủ như pool bảo hiểm phi tập trung, khung kiểm toán nâng cao và xác minh hình thức mã hợp đồng.
Tuy nhiên, các biện pháp này vẫn chưa đồng bộ trên toàn hệ sinh thái.
Các vấn đề an ninh lặp lại của Balancer do đó có thể trở thành một nghiên cứu điển hình về cách các ưu đãi thanh khoản và khả năng kết hợp có thể khuếch đại rủi ro hệ thống.
Khi các giao thức DeFi ngày càng liên kết với nhau thông qua các tiêu chuẩn token chung và cầu nối cross-chain, chỉ một hợp đồng thông minh bị xâm phạm cũng có thể kích hoạt rủi ro tài chính dây chuyền trên nhiều nền tảng.
