Nóng: Ola Finance bị hacker tấn công và đánh cắp 4,6 triệu USD 

Hôm qua, ngày 01/04/2022, giao thức DeFi Ola Finance đã công bố các kết quả điều tra của họ về vụ tấn công vào giao thức cho vay trên nền tảng. Cụ thể, giao thức cho vay trên mạng lưới Fuse của Ola Finance đã bị cách hacker tấn công vào ngày 31/03/2022 và đánh cắp tổng cộng 216.964 USDC, 504.216 BUSD, 200.000 fUSD, 550,45 WETH, 26,25 WBTC và 1,24 triệu FUSE. Tính theo giá trị tại thời điểm đó, tổng giá trị các tài sản bị đánh cắp lên đến 4,6 triệu USD. Được biết, trước đó, công ty bảo mật chuỗi khối PeckShield đã công bố thông tin về vụ tấn công với giá trị thiệt hại ước tính khoảng 3,6 triệu USD, tức thấp hơn 1 triệu USD so với báo cáo mới.

Theo đội ngũ sáng lập Ola Finance, các hacker đã khai thác triệt để một lỗ hổng trong tiêu chuẩn bảo mật của token ERC677. Đây được coi là lỗi trên hợp đồng thông minh cho phép các tin tặc có thể thực hiện các cuộc gọi lặp đi lặp lại đến giao thức cho vay để đánh cắp tài sản. 

Đại diện công ty bảo mật PeckShield giải thích:

“Vụ tấn công có thể xảy ra do quá trình không tương thích giữa Compound fork và các token ERC677 hoặc ERC777. Chính sự xung đột này cho phép các hacker có thể đánh cắp các tài sản cho vay mà không cần hoàn lại.”

Cụ thể vụ tấn công được thực hiện như sau:

Ban đầu, các hacker đã thực hiện giao dịch vay tiền trên nền tảng bằng tài sản thế chấp giả của chính họ. Sau đó, họ thực hiện rút tiền thông qua Tornado Cash – một giao thức ẩn danh cho phép người dùng thực hiện chuyển tiền mà không lưu lại các thông tin lịch sử giao dịch. Khi đã rút tiền xong, hacker chuyển tiền từ Tornado Cash đến mạng lưới Fuse. Họ tiếp tục thế chấp bằng tài sản giả và lần lượt đưa các khoản vay ra khỏi giao thức của Ola Finance. Nhờ phát hiện lỗ hổng re-entrancy trên hợp đồng thông minh mà các hacker có thể nhanh chóng xóa tài sản thế chấp mà không cần hoàn trả lại khoản vay trước đó. Quá trình này lặp đi lặp lại cho đến khi họ đánh cắp được nhiều loại tài sản mã hóa khác nhau với tổng giá trị ước tính khoảng 4,6 triệu USD.

Để trấn an người dùng, đại diện Ola Finance cho biết họ sẽ nhanh chóng bàn bạc để đưa ra một kế hoạch bồi thường hợp lý cho người dùng. Tuy nhiên, ở thời điểm hiện tại, các thông tin chi tiết liên quan đến kế hoạch này chưa được tiết lộ. Được biết, Ola Finance sẽ sớm liên hệ với kẻ tấn công và đưa ra một khoản tiền chuộc để yêu cầu các hacker trả lại khoản tiền mà họ đã đánh cắp. 

Như vậy có thể thấy, thị trường DeFi trong thời gian gần đây đang cho thấy những bất ổn nhất định khi xảy ra nhiều vụ tấn công với giá trị lớn. Gần đây nhất, các hacker đã tấn công sidechain Ronin của Axie Infinity và lấy đi hơn 625 triệu USD. Do đó, vụ tấn công vào giao thức cho vay Ola Finance là hồi chuông cảnh tỉnh đối với những nhà phát triển các dự án, nền tảng DeFi cũng như những nhà đầu tư trong thị trường tiền mã hóa nói chung.