Vào ngày 23 tháng 6, nhóm phát triển Harmony thông báo rằng 100 triệu USD đã bị rút từ cầu nối Horizon và dự án hiện đang làm việc với các cơ quan chức năng quốc gia và các chuyên gia pháp y.
Theo giám đốc bảo mật thông tin của Polygon, Mudit Gupta, kẻ tấn công cầu nối Horizon đã chiếm quyền kiểm soát ví đa chữ ký (multisig) được sử dụng trong cầu nối Harmony.
CSO của Polygon cho biết, ví multisig đã bị khai thác
Sau khi hứng chịu cuộc tấn công khai thác, ngay ngày hôm sau, giám đốc an ninh thông tin của Polygon, Mudit Gupta, nói rằng, bất kỳ ai chiếm được 2 trong số 5 địa chỉ ví multisig đều có thể kiểm soát cầu nối. “Hacker đã xâm nhập 2 địa chỉ và chúng có thể tiêu hết sạch tiền”, Gupta nói thêm.
Trong khi các chi tiết vẫn chưa được công khai, Gupta đã tóm tắt những gì mà ông tin rằng đã diễn ra trong vụ tấn công. “Hai địa chỉ có khả năng là ví nóng được sử dụng để xử lý các giao dịch trên cầu nối một cách hợp pháp”, Gupta giải thích.
“Kẻ tấn công đã xâm nhập vào các máy chủ mà ví nóng đang hoạt động. Sau khi vào bên trong máy chủ, chúng có thể truy cập các khóa được lưu giữ để ký các giao dịch hợp pháp… Điều này hoàn toàn giống với cách mà Ronin bị tấn công”.
Đây không phải là vụ ‘tấn công Blockchain’ mà là ‘tấn công truyền thống’. Gupta đã lên tiếng cảnh báo các giao thức nên tập trung vào bảo mật truyền thống và blockchain trong nhiều tháng nay.
Bên cạnh đó, báo cáo sự cố được viết bởi nhà sáng lập của Harmony Protocol cho biết, “nhóm phát triển đã tìm thấy bằng chứng cho thấy các khóa riêng tư đã bị xâm phạm, dẫn đến việc cầu nối Horizon bị vi phạm. Tiền đã bị đánh cắp từ phía Ethereum của cầu nối”.
Nhà sáng lập Harmony cũng lưu ý rằng, “bảo mật là chìa khóa để duy trì tính toàn vẹn như một phần của cuộc điều tra đang diễn ra. Việc chưa thông báo chi tiết cụ thể là để bảo vệ dữ liệu nhạy cảm vì lợi ích của cộng đồng”.
Chương trình tiền thưởng 1 triệu USD trong nỗ lực thu hồi số tiền bị đánh cắp
Mạng lưới Harmony, blockchain Layer-1, đã thông báo vào ngày 26 tháng 6 rằng nó đang cung cấp một khoản tiền thưởng trị giá 1 triệu USD để lấy lại số tiền bị mất.
Harmony trước đó tuyên bố rằng, họ đã “bắt đầu làm việc với các nhà chức trách quốc gia và các chuyên gia pháp y để xác định thủ phạm và lấy lại số tiền bị đánh cắp”.
Việc công bố tiền thưởng có lẽ là nỗ lực tiếp theo để khuyến khích hacker trả lại số tiền khai thác được. Tuy nhiên, Harmony tuyên bố rằng, nó “họ sẽ không đưa ra cáo buộc hình sự khi các khoản tiền được hoàn trả”.
Việt Cường
Theo AZCoin News