Vào ngày 13 tháng 10 năm 2022, theo nền tảng giám sát bảo mật EagleEye Web3 của Beosin, sàn giao dịch FTX đã bị một cuộc tấn công ăn cắp gas khi nó bị thao túng để trả tất cả phí gas nhằm đúc một lượng lớn mã thông báo XEN cho tin tặc.
Để đối phó với cuộc tấn công này, Coinlive đã mời Beosin, một công ty bảo mật Web3 có trụ sở tại Singapore, phân tích quy trình khai thác cụ thể.
A few transactions of the attacks: 0xc96b84cd834655290aa4bae7de80a3c117cc19d414f5bcf2fb85b8c5544300890x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d690x6bada8e084f8d3b62311f0b6eda10f2690e7542dab75a0de436a640036bccf94
Một trong những địa chỉ của kẻ tấn công: 0x1d371CF00038421d6e57CFc31EEff7A09d4B8760
Một trong những hợp đồng bị tấn công: 0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3
Địa chỉ ví nóng FTX bị tấn công: 0xC098B2a3Aa256D2140208C3de6543aAEf5A94444
Ví dụ: chúng tôi sẽ tập trung vào một giao dịch tấn công cụ thể: (0x8eb73bd5c08318a4cfd233940c3a58744830cda999e59ecbc56f094618a91d69)
Trong bước đầu tiên, kẻ tấn công đã triển khai một địa chỉ hợp đồng độc hại trên chuỗi (0xCba9b1Fd69626932c704DAc4CB58c29244A47FD3)
Trong bước thứ hai, tin tặc đã sử dụng địa chỉ ví nóng FTX của mình để chuyển một lượng tiền nhỏ đến địa chỉ hợp đồng độc hại (0xCba9...7FD3) và sau đó sử dụng hợp đồng này để tạo các hợp đồng phụ theo lô.
Vì nhiều hợp đồng được tạo ra trong toàn bộ cuộc tấn công và mỗi khi hợp đồng phụ được thực thi, hợp đồng phụ sẽ tự hủy, vì vậy hình dưới đây được hiển thị làm ví dụ.
Trong bước thứ ba, chức năng dự phòng () của hợp đồng phụ sẽ bắt đầu yêu cầu đúc cho hợp đồng $XEN. Hàm khiếu nạiRank() vượt qua thời hạn (>= 1 ngày) để đúc, chỉ yêu cầu trả phí gas khi gọi mà không có bất kỳ chi phí nào khác liên quan.
Hàm ClaimMintRewardAndShare() dùng để xác nhận quyền sở hữu, chỉ xác định thời hạn có đạt hay không (trường hợp này do hacker đặt là 1 ngày), sau đó có thể rút vô điều kiện về bất kỳ địa chỉ nào. Tuy nhiên, trong quy trình gọi này, người khởi tạo giao dịch là địa chỉ ví nóng FTX, do đó, gas của toàn bộ quá trình gọi được thanh toán bằng địa chỉ ví nóng FTX và địa chỉ đúc $XEN là địa chỉ của kẻ tấn công.
Ba bước trên được lặp lại liên tục theo một chu kỳ. Mỗi lần rút các mã thông báo đã hết hạn và đồng thời bắt đầu một yêu cầu đúc mới.
Cuộc tấn công này chủ yếu lợi dụng thực tế là FTX không áp đặt bất kỳ hạn chế nào đối với địa chỉ hợp đồng của người nhận, cũng như không áp đặt các hạn chế đối với giới hạn gas của ETH, điều này cho phép tin tặc khai thác và đúc mã thông báo $XEN để kiếm lợi nhuận.
Tại thời điểm viết bài, sàn giao dịch FTX đã mất tổng cộng 81 ETH và hacker đã đổi mã thông báo $XEN để chuyển ETH thông qua các sàn giao dịch phi tập trung như DODO và Uniswap.
Biểu đồ theo dõi và chuyển động quỹ của Beosin
Google đã giới thiệu Gemini 2.0, AI đa phương thức tiên tiến nhất của mình, được thiết kế cho các tác vụ đa dạng với khả năng vô song. Việc tiếp cận rộng rãi hơn được lên kế hoạch vào năm tới, đánh dấu bước nhảy vọt trong đổi mới AI.
CatherineTravala đã công bố quỹ dự trữ Bitcoin và Ava sau khi vượt qua 100 triệu đô la doanh thu hàng năm, được thúc đẩy bởi các đặt chỗ du lịch bằng tiền điện tử. Quỹ dự trữ này nhằm mục đích tăng cường tính linh hoạt về tài chính và hỗ trợ tăng trưởng trong tương lai mà không cần chuyển đổi tài sản kỹ thuật số.
WeatherlyVào lúc 11:07 tối ngày 11 tháng 12 theo giờ UTC, ChatGPT đã gặp sự cố mất điện toàn cầu, gây ra sự thất vọng và meme trên X. Khi chức năng dần hoạt động trở lại, sự cố này đặt ra một câu hỏi quan trọng: liệu chúng ta đã sẵn sàng cho những thách thức khi ngày càng phụ thuộc vào AI chưa?
KikyoGiá sàn của Pudgy Penguins đã tăng vọt lên hơn 100.000 đô la, lập kỷ lục mới và trở thành một trong những bộ sưu tập NFT có giá trị nhất. Sự gia tăng này được thúc đẩy bởi sự phấn khích cho đợt ra mắt token $PENGU sắp tới, giúp tăng giá trị của bộ sưu tập lên 99% chỉ trong một tuần.
AnaisKhoản quyên góp 1 triệu đô la diễn ra sau cuộc họp riêng giữa CEO Meta Mark Zuckerberg và Tổng thống đắc cử Hoa Kỳ Donald Trump tại Mar-a-Lago. Đây có phải là động thái chính trị hay chỉ là một cử chỉ từ thiện?
CatherineCoincheck hiện là sàn giao dịch tiền điện tử đầu tiên của Nhật Bản được niêm yết trên Nasdaq, huy động được số vốn đáng kể thông qua đợt IPO. Công ty có kế hoạch sử dụng số tiền thu được để mua lại, nhằm mục đích mở rộng sự hiện diện của mình trên thị trường tiền điện tử của Hoa Kỳ và Nhật Bản.
AnaisCác cổ đông của Microsoft đã bác bỏ áp đảo đề xuất thêm Bitcoin vào bảng cân đối kế toán của công ty, chỉ có 0,55% ủng hộ. Hội đồng quản trị bày tỏ lo ngại về tính biến động của Bitcoin, mặc dù thừa nhận tiềm năng của nó như một công cụ phòng ngừa lạm phát.
WeatherlyTổng thống đắc cử Donald Trump đã cam kết đưa Hoa Kỳ trở thành quốc gia dẫn đầu về tiền điện tử, tuyên bố, "Chúng ta sẽ làm điều gì đó tuyệt vời với tiền điện tử" sau khi rung chuông NYSE. Nhưng liệu ông có thể biến lời hứa này thành hành động hay đó chỉ là lời nói suông?
CatherineCác công tố viên Đài Loan đang điều tra cái chết của Miffy Chen, một chuyên gia pháp y tiền điện tử hàng đầu, người đã tử vong trong một vụ tai nạn xe hơi vào ngày 4 tháng 12. Công trình của Chen đã giúp cơ quan thực thi pháp luật thu giữ 9,3 tỷ Đài tệ tài sản bất hợp pháp bị nghi ngờ từ 60 vụ gian lận trong năm nay. Cái chết của cô ấy làm dấy lên câu hỏi: đó có phải là một tai nạn, hay còn nhiều điều cần khám phá?
KikyoNền kinh tế Hoa Kỳ bị chia rẽ giữa hai tầm nhìn đối lập: cách tiếp cận ổn định của Joe Biden, tập trung vào hợp tác quốc tế và hỗ trợ tầng lớp trung lưu, và các cải cách táo bạo của Donald Trump, thúc đẩy bởi chủ nghĩa bảo hộ và cắt giảm thuế cho người giàu.
Catherine