Giao thức crypto CrossCurve xác nhận cầu nối cross-chain của dự án đã bị khai thác lỗ hổng hợp đồng thông minh, gây thiệt hại khoảng 3 triệu USD trên nhiều mạng lưới. Dự án đã kêu gọi người dùng tạm dừng mọi tương tác trong khi tiến hành điều tra và phối hợp các bên liên quan để xử lý sự cố.
CrossCurve xác nhận bị khai thác lỗ hổng hợp đồng thông minh
CrossCurve cho biết vụ việc liên quan đến việc khai thác một lỗ hổng trong hợp đồng thông minh được sử dụng cho cầu nối cross-chain. Thông báo đăng tải trên X nêu rõ dự án đang điều tra nguyên nhân và yêu cầu người dùng ngừng tương tác với giao thức cho đến khi có thông tin mới.
Theo tài khoản cảnh báo an ninh Defimon Alerts (liên kết với công ty bảo mật Decurity), tổng số tiền bị rút trái phép ước tính khoảng 3 triệu USD và diễn ra trên nhiều mạng lưới.
Cách thức tấn công: giả mạo thông điệp để mở khóa token
Defimon Alerts cho biết một hợp đồng thông minh của CrossCurve cho phép kẻ tấn công giả mạo thông điệp cross-chain, từ đó bỏ qua cơ chế xác thực của gateway và kích hoạt mở khóa token trên PortalV2. Cụ thể, kẻ tấn công có thể gọi hàm expressExecute trên hợp đồng ReceiverAxelar với thông điệp giả, dẫn đến việc mở khóa tài sản trái phép.
Ảnh hưởng đến đối tác và khuyến nghị cho người dùng
Curve Finance — đối tác của CrossCurve — đã khuyến nghị những người dùng đã phân bổ vốn vào các pool liên quan đến CrossCurve nên rà soát vị thế và cân nhắc rút phiếu/bỏ phiếu phân bổ, đồng thời nhấn mạnh việc đánh giá rủi ro khi tương tác với các dự án bên thứ ba.
CrossCurve treo thưởng 10% nếu hoàn trả tiền trong 72 giờ
Nhằm liên hệ với kẻ tấn công, CEO CrossCurve Boris Povar đã công bố 10 địa chỉ ví được cho là đã nhận token từ vụ khai thác và đề nghị hoàn trả trong vòng 72 giờ. Ông đưa ra mức thưởng lên tới 10% nếu tài sản được trả lại trong thời hạn này, đồng thời bày tỏ hy vọng đây không phải hành vi cố ý.
Nếu không có phản hồi hoặc hoàn trả sau 72 giờ, CrossCurve cho biết sẽ xem đây là hành vi có chủ đích, tiến hành các biện pháp pháp lý, phối hợp cơ quan chức năng, khởi kiện dân sự, và làm việc với các dự án crypto khác để đóng băng tài sản khi cần thiết.
Bài học an ninh DeFi sau sự cố CrossCurve
Sự cố tại CrossCurve một lần nữa cho thấy rủi ro an ninh của các cầu nối cross-chain và tầm quan trọng của kiểm toán hợp đồng thông minh, cơ chế xác thực thông điệp, cũng như phản ứng sự cố minh bạch. Trong bối cảnh DeFi ngày càng liên thông đa chuỗi, việc tăng cường tiêu chuẩn bảo mật và quy trình ứng phó sẽ là yếu tố then chốt để bảo vệ người dùng và hệ sinh thái.
