Phân tích sự kiện tấn công x402bridge: Khóa riêng bị rò rỉ khiến hơn 200 người dùng bị thiệt hại, quyền hạn vượt mức lộ ra nguy cơ.

Công ty an ninh Web3 GoPlus Security báo cáo rằng, giao thức đa lớp mới ra mắt x402bridge đã gặp phải lỗ hổng an ninh, dẫn đến việc hơn 200 người dùng mất USDC, tổng cộng khoảng 17.693 USD. Các công ty điều tra trên chuỗi và an ninh SlowMist đều xác nhận rằng, lỗ hổng này có khả năng do rò rỉ khóa riêng của quản trị viên, khiến kẻ tấn công có được quyền quản lý đặc biệt của hợp đồng. GoPlus Security khẩn cấp khuyên tất cả người dùng có ví trên giao thức này nên hủy bỏ quyền hạn đang diễn ra càng sớm càng tốt, và nhắc nhở người dùng không bao giờ cấp quyền hạn vô hạn cho hợp đồng. Sự kiện này đã phơi bày rủi ro an ninh tiềm ẩn trong cơ chế x402, trong đó việc lưu trữ khóa riêng trên máy chủ có thể dẫn đến rò rỉ quyền hạn quản trị.

Giao thức mới x402bridge bị tấn công: Ủy quyền quá mức phơi bày rủi ro an ninh khóa riêng

Giao thức x402bridge đã gặp phải một cuộc tấn công an ninh chỉ vài ngày sau khi ra mắt trên chuỗi, dẫn đến tổn thất tài chính của người dùng. Cơ chế của giao thức yêu cầu người dùng phải được ủy quyền bởi hợp đồng Owner trước khi đúc USDC. Trong sự kiện này, chính việc ủy quyền quá mức đã dẫn đến việc hơn 200 người dùng bị chuyển giao stablecoin còn lại.

Kẻ tấn công lợi dụng khóa riêng bị rò rỉ để đánh cắp USDC của người dùng

Theo quan sát của GoPlus Security, quy trình tấn công rõ ràng chỉ ra việc lạm dụng quyền hạn:

• Chuyển nhượng quyền: Địa chỉ người tạo (0xed1A bắt đầu ) đã chuyển giao quyền sở hữu cho địa chỉ 0x2b8F, cấp cho người sau quyền quản lý đặc biệt do đội ngũ x402bridge nắm giữ, bao gồm khả năng chỉnh sửa các cài đặt quan trọng và chuyển nhượng tài sản.
• Thực hiện chức năng độc hại: Sau khi giành quyền kiểm soát, địa chỉ chủ sở hữu mới ngay lập tức thực hiện một chức năng có tên là “transferUserToken”, cho phép địa chỉ này rút số USD Coins còn lại từ tất cả các ví đã được ủy quyền cho hợp đồng trước đó.
• Thiệt hại và chuyển nhượng tài chính: Địa chỉ 0x2b8F đã đánh cắp tổng cộng khoảng 17,693 USD của USDC từ người dùng, sau đó đổi số tiền bị đánh cắp thành Ethereum và chuyển qua nhiều giao dịch cross-chain đến mạng Arbitrum.

Nguồn gốc lỗ hổng: Rủi ro lưu trữ khóa riêng trong cơ chế x402

Đội ngũ x402bridge đã phản hồi về sự cố lỗi này, xác nhận rằng cuộc tấn công là do Khóa riêng bị rò rỉ, dẫn đến việc hàng chục đội ngũ thử nghiệm và Ví tiền chính bị đánh cắp. Dự án đã tạm dừng tất cả các hoạt động và đóng cửa trang web, và đã báo cáo cho cơ quan thực thi pháp luật.

• Rủi ro quy trình ủy quyền: Giao thức trước đây đã giải thích nguyên lý hoạt động của cơ chế x402: Người dùng thông qua giao diện web ký hoặc phê duyệt giao dịch, thông tin ủy quyền được gửi đến máy chủ phía sau, máy chủ sau đó rút tiền và đúc token.
• Rủi ro lộ khóa riêng: Đội ngũ thừa nhận: “Khi chúng tôi lên sóng tại x402scan.com, chúng tôi cần lưu trữ khóa riêng trên máy chủ để gọi phương thức hợp đồng.” Bước này có thể dẫn đến việc lộ khóa riêng của quản trị viên trong giai đoạn kết nối internet, từ đó gây ra rò rỉ quyền hạn. Một khi khóa riêng bị đánh cắp, hacker có thể tiếp quản tất cả quyền quản trị viên và phân bổ lại vốn của người dùng.

Vài ngày trước khi cuộc tấn công xảy ra, khối lượng giao dịch của x402 đã tăng vọt, vào ngày 27 tháng 10, giá trị thị trường của token x402 lần đầu tiên vượt mốc 800 triệu USD, khối lượng giao dịch của giao thức x402 trên các sàn CEX chính trong một tuần đạt 500.000 giao dịch, tăng 10.780% so với tuần trước.

Gợi ý an toàn: GoPlus kêu gọi người dùng ngay lập tức hủy quyền

Xem xét mức độ nghiêm trọng của vụ rò rỉ này, GoPlus Security khẩn cấp khuyên những người dùng có ví tiền trên giao thức này ngay lập tức hủy bỏ bất kỳ quyền hạn nào đang diễn ra. Công ty an ninh cũng nhắc nhở tất cả người dùng:

1. Kiểm tra địa chỉ: Trước khi phê duyệt bất kỳ chuyển nhượng nào, hãy kiểm tra xem địa chỉ được ủy quyền có phải là địa chỉ chính thức của dự án hay không.
2. Hạn chế số tiền ủy quyền: Chỉ ủy quyền số tiền cần thiết, tuyệt đối không cấp quyền ủy quyền vô hạn cho hợp đồng.
3. Kiểm tra định kỳ: Kiểm tra định kỳ và hủy bỏ các quyền truy cập không cần thiết.

Kết luận

Sự kiện x402bridge bị tấn công do rò rỉ khóa riêng đã một lần nữa gióng lên hồi chuông cảnh báo về những rủi ro mà các thành phần tập trung (như máy chủ lưu trữ khóa riêng) mang lại trong lĩnh vực Web3. Mặc dù giao thức x402 nhằm mục đích sử dụng mã trạng thái HTTP 402 Payment Required để thực hiện thanh toán stablecoin ngay lập tức và có thể lập trình, nhưng các lỗ hổng an ninh trong cơ chế thực hiện của nó cần phải được sửa chữa ngay lập tức. Đối với người dùng, cuộc tấn công lần này là một bài học đắt giá, nhắc nhở chúng ta rằng khi tương tác với bất kỳ giao thức blockchain nào, chúng ta phải luôn duy trì cảnh giác và quản lý quyền truy cập ví một cách cẩn thận.