Bitquery truy tìm khoản lỗ 305.000 USD của người dùng Aave về vụ chiếm quyền website Across Protocol

Cuộc điều tra của Bitquery phát hiện một người gửi tiền vào Aave đã mất khoảng 305.000 USD token tiền gửi trong vụ chiếm quyền website Across Protocol ngày 10 tháng 11. Bitquery cho rằng khoản lỗ bắt nguồn từ quyền chi tiêu được cấp qua giao diện bị xâm nhập, làm lộ một vị thế cho vay nằm ngoài cầu nối xuyên chuỗi. Trong bản điều chỉnh ngày 12 tháng 11, Bitquery ước tính tổng số tiền bị đánh cắp là 401.900 USD từ 9 ví trên 5 blockchain, định giá tài sản tại thời điểm bị đánh cắp. Người gửi tiền vào Aave chiếm khoảng 76% số tiền bị mất được truy tìm. Bản điều chỉnh bổ sung một giao dịch chuyển ether mà cuộc điều tra trước đó đã bỏ sót.

Across Protocol cho biết hoạt động thao túng xã hội liên quan đến Namecheap, đơn vị đăng ký tên miền của giao thức, đã tạo điều kiện cho vụ chiếm quyền ngày 10 tháng 11. Ví bị ảnh hưởng lớn nhất mất aWETH, một token sinh lãi đại diện cho khoản tiền gửi vào Aave. Tài liệu của Aave cho biết token tiền gửi có thể được chuyển nhượng và một tài khoản khác có thể nhận quyền chi tiêu thông qua giấy phép được ký. Bitquery đã dựng lại chuỗi sự kiện, trong đó website giả mạo lấy được giấy phép và kẻ tấn công dùng giấy phép đó để chuyển token của người gửi tiền.

Giao dịch chuyển tiền ban đầu ngày 10 tháng 11 ghi nhận một quyền phê duyệt không giới hạn, trước khi khoảng 115,23 aWETH được chuyển đến một ví và 28,81 aWETH đến một ví khác. Bitquery xác định người nhận thứ nhất là ví của kẻ tấn công và người nhận thứ hai là ví thu phí của công cụ rút tiền, phù hợp với cách phân chia 80/20. Lịch sử giao dịch của người gửi tiền ghi nhận 4 lần rút, lần cuối diễn ra 3 phút sau lần đầu. Bitquery cho biết chủ sở hữu đã hủy quyền phê duyệt một phút sau lần rút cuối, quá muộn để ngăn các giao dịch chuyển tiền.

Bản cập nhật ngày 12 tháng 11 của Bitquery bổ sung một vụ đánh cắp riêng biệt 26,38 ETH từ một nạn nhân khác, được định giá khoảng 54.000 USD tại thời điểm bị đánh cắp. Hồ sơ giao dịch Ethereum cho thấy số ETH này được chuyển vào ngày 10 tháng 11. Bitquery cho biết ước tính 294.000 USD được lan truyền rộng rãi là số tài sản trong ví thu phí, bao gồm cả tiền nhận được trước vụ tấn công Across. Bitquery liên kết các vụ rút tiền với Across dựa trên thời điểm giao dịch và địa chỉ nhận. Tuy nhiên, Bitquery thừa nhận dữ liệu blockchain không thể xác định nạn nhân đã truy cập website nào.

Across Protocol thông báo ngày 11 tháng 11 rằng giao thức đã giành lại quyền kiểm soát tên miền. Across Protocol hứa hoàn trả đầy đủ cho những người dùng bị ảnh hưởng và công bố báo cáo hậu kiểm.