Giao thức Cetus xác nhận rằng một lỗ hổng trong thư viện mã nguồn mở đã bị khai thác, gây ra vụ tấn công trị giá 223 triệu USD. Đội ngũ cam kết tăng cường bảo mật thông qua kiểm thử nghiêm ngặt và chương trình thưởng lỗi hấp dẫn.
Một tuần sau vụ tấn công trị giá 223 triệu USD, giao thức Cetus Protocol – một sàn giao dịch phi tập trung (DEX) trên blockchain Sui – đã chính thức xác nhận rằng nguyên nhân của vụ việc là do một lỗ hổng trong thư viện mã nguồn mở được sử dụng bởi hợp đồng thông minh của họ. Sự cố này đã khiến tài sản của người dùng bị rút cạn một cách nhanh chóng.
Nguyên Nhân Chính Của Vụ Tấn Công
Theo báo cáo chi tiết từ Cetus, cuộc tấn công nhắm vào các pool thanh khoản tập trung (CLMM – Concentrated Liquidity Market Maker) của giao thức bằng cách khai thác một lỗ hổng liên quan đến kiểm tra tràn số (overflow check). Kẻ tấn công đã sử dụng kỹ thuật “flash swap” để thao túng giá pool, sau đó tiêm lượng thanh khoản lớn giả tạo với một lượng token tối thiểu. Sau khi thực hiện nhiều lần rút thanh khoản, kẻ tấn công đã chuyển tài sản ra khỏi hệ thống.
Lỗ hổng cụ thể xuất phát từ một biện pháp bảo vệ tràn số nguyên không đúng cách trong thư viện inter_mate, đặc biệt là phương thức checked_shlw. Phương thức này đã kiểm tra đầu vào theo giới hạn 256-bit thay vì 192-bit như thiết kế ban đầu, cho phép kẻ tấn công tiêm thanh khoản mà không bị kiểm soát.
Cetus cũng nhấn mạnh rằng: “Gần đây, một số người trên mạng xã hội đã hiểu sai rằng vụ tấn công này xuất phát từ lỗi tính toán MAX_U64 được đề cập trong báo cáo kiểm toán trước đó. Điều này đã gây hiểu lầm cho nhiều người.” Đội ngũ khẳng định rằng vấn đề MAX_U64 hoàn toàn không liên quan đến vụ khai thác vừa qua.
Phản Ứng Nhanh Chóng Của Cetus
Theo dòng thời gian sự kiện được Cetus công bố, đội ngũ đã vô hiệu hóa các pool CLMM cốt lõi chỉ trong vòng 30 phút kể từ khi phát hiện vụ tấn công, nhằm ngăn chặn thêm thiệt hại. Tuy nhiên, tại thời điểm đó, khoảng 223 triệu USD đã bị rút đi, khiến giá trị của nhiều token dựa trên Sui giảm mạnh.
Trong vòng 1 giờ 20 phút sau vụ tấn công, các validator của Sui bắt đầu bỏ phiếu để từ chối các giao dịch từ địa chỉ của kẻ tấn công. Khi tỷ lệ phiếu bầu vượt quá 33% tổng số stake, các địa chỉ liên quan đến số tiền khoảng 162 triệu USD đã bị “đóng băng”.
Tuy nhiên, quyết định này đã gây tranh cãi trong cộng đồng, khi nhiều ý kiến cho rằng hành động này làm lộ rõ rủi ro về tính tập trung của hệ thống. Trước thời điểm đóng băng, khoảng 60 triệu USD đã được chuyển đổi thành USDC, cầu nối sang Ethereum và hoán đổi thành ETH.
Hợp đồng bị lỗi sau đó đã được vá và nâng cấp, nhưng vẫn chưa được khởi động lại hoàn toàn.
Đàm Phán Và Chương Trình Thưởng Lỗi
Cetus và công ty phân tích dữ liệu Inca Digital đã gửi thông điệp tới kẻ tấn công, yêu cầu trả lại 20.920 ETH cùng số tiền bị đóng băng trong ví Sui của họ. Đội ngũ cam kết sẽ không thực hiện thêm bất kỳ hành động pháp lý hoặc công khai nào nếu thỏa thuận được chấp nhận.
Tuy nhiên, Cetus cho biết họ không nhận được bất kỳ phản hồi nào từ hacker. Do đó, đội ngũ đã công bố mức thưởng 5 triệu USD cho bất kỳ thông tin nào giúp xác định và bắt giữ kẻ tấn công. Số tiền thưởng này sẽ được chi trả theo quyết định của Quỹ Sui.
Kế Hoạch Khôi Phục Tài Sản Bị Đóng Băng
Cetus cũng kêu gọi cộng đồng Sui hỗ trợ một bản nâng cấp giao thức để khôi phục 162 triệu USD tài sản bị đóng băng và hoàn trả chúng cho chủ sở hữu hợp pháp.
“Hoàn toàn không ai có thể đưa ra quyết định này một mình. Chúng tôi đề xuất một cuộc bỏ phiếu onchain bao gồm các bên tham gia chính của mạng lưới, bao gồm các validator và người staking SUI, để quyết định xem bản nâng cấp này có phù hợp với lợi ích của cộng đồng Sui hay không,” Cetus tuyên bố.
Bài Học Và Cam Kết Tương Lai
Dù đã đầu tư mạnh vào kiểm toán hợp đồng thông minh và các biện pháp bảo mật kể từ khi ra mắt, đội ngũ Cetus thừa nhận rằng sự cố vừa qua đã cho thấy niềm tin vào an toàn bảo mật trước đây là sai lầm.
Để tăng cường phòng thủ, Cetus đang triển khai các biện pháp giám sát thời gian thực, cấu hình quản lý rủi ro chặt chẽ hơn, kiểm thử sâu rộng hơn, và tiến hành kiểm toán thường xuyên hơn. Đồng thời, đội ngũ cam kết minh bạch hơn bằng cách công khai các chỉ số độ bao phủ mã nguồn.
Hiện tại, Cetus đang hợp tác với đội ngũ bảo mật Sui và các đối tác kiểm toán để tái xác thực tất cả các hợp đồng đã nâng cấp trước khi kích hoạt lại các pool CLMM. Họ cũng đang phối hợp với các đối tác trong hệ sinh thái để xây dựng kế hoạch khôi phục quyền truy cập thanh khoản cho các nhà cung cấp thanh khoản (LP) bị ảnh hưởng.
Vụ tấn công 223 triệu USD là một bài học đắt giá cho Cetus và cộng đồng blockchain nói chung. “Chúng tôi muốn khôi phục và hoàn trả tài sản bị đánh cắp, nhưng trên hết, chúng tôi sẽ tôn trọng quyết định của cộng đồng,” Cetus nhấn mạnh. Với những bước đi mới mẻ trong tương lai, hy vọng rằng Cetus sẽ lấy lại niềm tin và tiếp tục phát triển bền vững trong thế giới DeFi đầy thách thức.