Giao thức TempleDAO bị “trộm” 2,3 triệu USD

Giao thức staking TempleDAO đã bị tấn công vào sáng nay, với tổng thiệt hại ước tính rơi vào khoảng 2,3 triệu USD.

TempleDAO, một giao thức DeFi yield-farming, đã bị dính mã độc trên một vault staking, gây thất thoát 1.830 ETH (khoảng 2,3 triệu USD), người dùng Twitter Spreek đã phát hiện và báo cáo sự cố này.

.@templedao exploited for $2m it seems pic.twitter.com/k0nBLSoxnx

— Spreek (@spreekaway) October 11, 2022

BlockSec và PeckShield đã xác nhận trong một loạt tweet ngay sau đó vụ tấn công đã thực sự xảy ra. BlockSec cho rằng nguyên nhân gốc rễ của vụ hack là “không đủ quyền truy cập để kiểm soát chức năng migrateStake.”

TempleDao @templedao has been attacked. The root cause is the insufficient access control to the migrateStake function.https://t.co/eUwSMkZrEtpic.twitter.com/zXBUwzQ2Oy

— BlockSec (@BlockSecTeam) October 11, 2022

Theo PeckShield, kẻ tấn công đã bòn rút tiền từ Simpleswap và chuyển 1.831 Ethereum (2,34 triệu USD) đến một địa chỉ mới, có liên kết với một tài khoản Binance. 

#PeckShieldAlert Seems like @templedao got exploited. The exploiter funded from SimpleSwap and already transferred 1,831 $ETH (~$2.34M) to a new address 0x2B63d…B5A0 @peckshieldhttps://t.co/bOyOARyyxYpic.twitter.com/SVEm8o95U6

— PeckShieldAlert (@PeckShieldAlert) October 11, 2022

Stax, một ứng dụng phi tập trung được cung cấp bởi TempleDAO, đã khuyến nghị người dùng dừng nạp tiền vào các hợp đồng STAX và xác nhận:

Update on STAX exploit.

A total of 321,154 xLP tokens were taken from the xLP Staking contract at 13:08 UTC time. These tokens were swapped for precisely 1,418,303 $TEMPLE and 1,262,438 $FRAX. 1,418,303 $TEMPLE were sold for FRAX.

— STAX (@staxfinance) October 11, 2022

“Đã có tổng cộng 321.154 xLP được rút từ hợp đồng xLP Staking vào lúc 13:08 UTC. Số token này đã được swap sang 1.418.303 TEMPLE và 1.262.438 FRAX. Trong đó, 1.418.303 TEMPLE đã được chuyển thành FRAX.”

TempleDAO hiện đang làm việc với Binance để điều tra, vì địa chỉ của hacker được liên kết với tài khoản Binance. Stax cho biết:

“Chúng tôi đang phối hợp với Binance và sẽ khởi tạo một khoản tiền thưởng bounty mũ trắng cho kẻ tấn công. Chúng tôi đang tăng tiền thưởng hiện có với Hats Finance và cam kết sẽ thiết lập liên lạc an toàn nếu tin tặc trả lại tiền cũng như được nhận thưởng hợp pháp.”

Song kẻ tấn công vẫn chưa “đụng” vào CORE vault, nơi đang chứa hơn 100 triệu USD stablecoin của dự án. Ngay sau sự cố, TempleDAO cam kết sẽ sớm khắc phục và bảo vệ người dùng bị ảnh hưởng. Token của TempleDAO đã trượt dốc 20% sau vụ đánh cắp kho tiền staking. 

Hợp đồng thông minh và cầu nối cross-chain vẫn còn tồn tại nhiều lỗ hổng và là miếng mồi ngon của bọn hacker từ đầu năm đến nay. Chưa đầy một tuần qua, đã có liên tiếp sự cố bảo mật gây thất thoát hàng trăm triệu USD. Gần nhất là vụ hack cầu nối của BNB Chain, cuốn bay 586 triệu USD. 

Cũng trong rạng sáng nay (12/10), nền tảng giao dịch Phái sinh Mango Markets trên Solana đã rơi vào tình thế tương tự, bị kẻ xấu bòn rút lên đến 114 triệu USD bằng chiêu trò thao túng giá. Song cách đây vài giờ, tài khoản được cho là của kẻ tấn công vào Mango Markets đã gửi một đề xuất lên diễn đàn dự án, cam kết trả lại một phần tiền đánh cắp nếu không bị điều tra và truy cứu hình sự.