Sáng ngày 03/02, cộng đồng tiền mã hóa đã sửng sốt trước thông tin Wormhole – dự án cross-chainkết nối Solana với Ethereum, Binance Smart Chain, Polygon, Avalanche, Oasis, and Terra – đã bị hacker tấn công, dẫn đến thất thoát số tiền lên đến 120,000 wETH. Tính theo giá trị tại thời điểm xảy ra vụ việc, lượng Wrapped Ethereum này có giá trị lên đến hơn 325 triệu USD.
Thông tin này đã được Wormhole xác nhận trên trang Twitter của dự án, đồng thời khẳng định sẽ bổ sung wETH để đảm bảo tỷ lệ bảo chứng 1:1, tức là dự án bằng cách nào đó phải kiếm đủ 120,000 ETH. Hiện vẫn chưa rõ Wormhole sẽ huy động số tiền khổng lồ đó bằng cách nào.
The wormhole network was exploited for 120k wETH.
— Wormhole🌪 (@wormholecrypto) February 2, 2022
ETH will be added over the next hours to ensure wETH is backed 1:1. More details to come shortly.
We are working to get the network back up quickly. Thanks for your patience.
Lỗ hổng Wormhole đã được kẻ tấn công lợi dụng trên Solana. Cụ thể, hắn được cho là đã “đánh lừa” bộ máy xác thực của Wormhole để nhận được quyền phát hành 120,000 wETH trên Solana, sau đó rút số tiền này để quy đổi về ETH trên Ethereum và chuyển thành các token khác trên Solana.
Hiện vẫn chưa rõ cầu nối Wormhole đến các blockchain khác có tồn tại lỗi tương tự này không, song hãng kiểm toán Certik nhận định “có thể lỗ hổng cũng xuất hiện trên Terra”. Wormhole đến nay vẫn chưa đưa ra xác nhận gì thêm về vụ việc.
Sau đó ít giờ, dự án thông báo đã vá thành công lỗ hổng và đang nỗ lực khởi động lại hệ thống.
The vulnerability has been patched.
— Wormhole🌪 (@wormholecrypto) February 3, 2022
We are working to get the network back up as soon as possible.
Ngoài ra, một địa chỉ gắn liền với Wormhole đã gửi tin nhắn đến kẻ tấn công, cam kết sẽ trả thưởng 10 triệu USD nếu hacker hoàn lại tiền.
holy fucking shit @wormholecrypto is not having a good time right now pic.twitter.com/Q6tcqAngCL
— samczsun (@samczsun) February 2, 2022
Theo các chuyên gia DeFi, vụ tấn công tuy có số tiền bị thất thoát lớn nhưng lại không gây ảnh hưởng nhiều đến các giao thức DeFi trên Solana, vì phần lớn ETH trên Solana lại được chuyển đổi thông qua sàn FTX.
Edit: turns out most ETH on Solana is _not_ custodied by Wormhole, but is custodied by FTX, therefore unaffected.https://t.co/PzK7r6CUfR
— David Mihal.eth (ℹ️, ℹ️) (@dmihal) February 2, 2022
Với mức thiệt hại “khủng khiếp” trên, Wormhole không những đã trở thành vụ hack DeFi nghiêm trọng nhất tính đến lúc này của năm 2022, mà còn là sự cố tấn công DeFi lớn thứ 2 toàn lịch sử, chỉ sau kỷ lục 611 triệu USD của Poly Network vào tháng 08/2021, vốn cũng là một dự án cross-chain.
Những tháng trở lại đây, các vụ tấn công tiền mã hóa vẫn chưa có dấu hiệu hạ nhiệt. Không những các sàn giao dịch bị hack như BitMart (200 triệu USD), AscendEx (78 triệu USD), Crypto.com (33 triệu USD), các nền tảng DeFi ngày càng trở thành “món mồi ngon” cho tin tặc, thể hiện qua các vụ tấn công vào Cream Finance (117 triệu USD), Badger DAO (120 triệu USD), Vulcan Forged (145 triệu USD) và mới nhất là QuBit Finance (80 triệu USD) vào tháng 01/2022.
Đáng chú ý, vụ tấn công Wormhole diễn ra chưa đầy 1 tháng sau khi nhà sáng lập Ethereum Vitalik Buterin lên tiếng cảnh báo về rủi ro của các dự án cross-chain, thậm chí còn lấy đúng ví dụ cầu nối giữa Ethereum – Solana bị tấn công, dẫn đến việc wETH trên Solana không còn có ETH để bảo chứng giá trị.
Cập nhật:
Đến tối ngày 03/02, Wormhole thông báo đã khôi phục toàn bộ số tiền WETH bị mất cắp, đồng thời cầu nối cross-chain của dự án đã quay lại hoạt động bình thường. Mặc dù vậy, Wormhole không cung cấp thông tin bằng cách nào họ có thể huy động được đến 120,000 ETH trong chưa đầy 24h kể từ sự cố bị hack, hoặc là yêu cầu xin hacker hoàn tiền đã được đáp lại.
The team is working on a detailed incident report and will share it asap
— Wormhole🌪 (@wormholecrypto) February 3, 2022
18:26 UTC - contract was exploited for 120k ETH
00:33 UTC - vulnerability was patched
13:08 UTC - ETH contract has been filled and all wETH are backed 1:1
13:29 UTC - the Portal (token bridge) is back up