Lỗ hổng ở cấp giao thức cho phép nhân bản tạo token giả
Flow Foundation hôm thứ Ba đã công bố báo cáo kỹ thuật hậu sự cố (post-mortem), làm rõ vụ khai thác ở cấp giao thức xảy ra ngày 27/12, cho phép kẻ tấn công tạo token giả trên mạng Flow, gây ra khoảng 3,9 triệu USD thiệt hại đã được xác nhận trước khi sự cố được khống chế.
Theo báo cáo, kẻ tấn công đã khai thác một lỗ hổng trong runtime Cadence của Flow, khiến một số tài sản bị nhân bản (duplicated) thay vì được mint hợp lệ, qua đó vượt qua các cơ chế kiểm soát nguồn cung. Đáng chú ý, cuộc tấn công không truy cập hay rút tiền từ số dư hiện có của người dùng.
Mạng tạm dừng trong 6 giờ, sàn giao dịch đóng băng token giả
Các validator đã phối hợp tạm dừng mạng trong vòng 6 giờ kể từ giao dịch độc hại đầu tiên. Đồng thời, các đối tác sàn giao dịch đã nhanh chóng đóng băng phần lớn token giả trước khi chúng kịp bị bán ra thị trường.
Flow cho biết việc tạm dừng này đã đưa mạng vào chế độ chỉ đọc (read-only) nhằm cắt các lối thoát, ngăn chặn việc tiếp tục nhân bản token trong lúc điều tra.
Khôi phục có kiểm soát và tiêu hủy token giả
Hoạt động của mạng được khôi phục sau hai ngày theo một kế hoạch “khôi phục cô lập” (isolated recovery). Kế hoạch này:
- Bảo toàn lịch sử giao dịch hợp lệ
- Cho phép thu hồi và tiêu hủy vĩnh viễn token giả
- Được thực hiện thông qua quy trình quản trị đã được phê duyệt
Flow Foundation nhấn mạnh không có số dư hợp lệ nào của người dùng bị xâm phạm, do lỗ hổng chỉ tạo bản sao tài sản thay vì rút tiền khỏi tài khoản. Chỉ một số ít tài khoản từng tương tác với token giả bị hạn chế tạm thời như biện pháp phòng ngừa; hơn 99% tài khoản vẫn có quyền truy cập đầy đủ trong và sau quá trình khôi phục.
Vá lỗi, tăng cường kiểm thử và phối hợp điều tra
Sau sự cố, Flow cho biết đã:
- Vá lỗ hổng cốt lõi
- Bổ sung các kiểm tra runtime nghiêm ngặt hơn
- Mở rộng kiểm thử hồi quy (regression testing) để ngăn chặn các khai thác tương tự
Ngoài ra, dự án đang làm việc với các đối tác pháp y và cơ quan thực thi pháp luật, đồng thời tăng cường giám sát và chương trình bug bounty trong khuôn khổ chiến lược củng cố an ninh dài hạn.
Flow trong bối cảnh suy giảm hậu NFT
Dapper Labs – đơn vị đứng sau CryptoKitties – đã công bố phát triển Flow từ tháng 9/2019 như một blockchain layer 1 nhằm giải quyết bài toán mở rộng cho các ứng dụng tiêu dùng như game và đồ sưu tầm số.
Thành công sớm của NBA Top Shot đã đưa Flow vào tâm điểm giai đoạn 2020–2021, giúp token FLOW tăng vọt trên 40 USD năm 2021, theo dữ liệu CoinGecko. Đà tăng tiếp diễn sang 2022, khi dự án huy động khoảng 725 triệu USD từ các nhà đầu tư lớn như Andreessen Horowitz và Union Square Ventures.
Tuy nhiên, khi thị trường NFT hạ nhiệt, FLOW mất dần động lực và rơi ngoài top 300 tiền mã hóa theo vốn hóa. Đà giảm tăng tốc sau vụ hack ngày 27/12, khi FLOW lao dốc khoảng 40% chỉ trong 5 giờ. Token này chạm đáy 0,075 USD ngày 2/1, trước khi hồi phục và giao dịch quanh 0,10 USD, tăng khoảng 16% trong 24 giờ, theo dữ liệu của Cointelegraph.
Kết luận
Báo cáo hậu sự cố của Flow cho thấy phản ứng nhanh của validator và đối tác sàn đã hạn chế đáng kể thiệt hại từ vụ token giả trị giá 3,9 triệu USD. Dù không ảnh hưởng đến số dư người dùng, sự cố tiếp tục nhấn mạnh tầm quan trọng của kiểm thử ở cấp giao thức và giám sát an ninh liên tục, đặc biệt trong bối cảnh Flow đang nỗ lực phục hồi sau giai đoạn suy giảm của thị trường NFT.
