CoW Swap bị đánh cắp hơn 550 BNB
PeckShield ước tính kẻ tấn công đã rút DAI trị giá khoảng 180,000 USD từ CoW Swap vào ngày 7/2. Sau đó, người này đã chuyển tiền qua Tornado Cash đổi sang 551 BNB. Cuộc tấn công nhắm vào lỗ hổng của GPv2Settlement, hợp đồng thông minh thanh toán thương mại. Đây là một phần của giao thức CoW Swap alpha (GPv2).
It seems (1) @CoWSwap's GPv2Settlement contract has been tricked 10 days ago to approve SwapGuard for DAI spending and (2) SwapGuard was just triggered to transfer out DAI from GPv2Settlement. Here are the two related txs: https://t.co/Tb8Sk5xqMR and https://t.co/JS7ejDhiAs https://t.co/Wpbeq4UoEP pic.twitter.com/oRWIzeOLzz
— PeckShield Inc. (@peckshield) February 7, 2023
Theo PeckShield, kẻ tấn công đã lừa chủ sở hữu hợp đồng GPv2Settlement chấp thuận việc sử dụng SwapGuard vào 11 ngày trước đó (tức ngày 27/1). SwapGuard là hợp đồng thứ hai được CoW Swap sử dụng để hỗ trợ và xác thực giao dịch. Sàn đã gặp phải một lỗ hổng bảo mật sau khi kẻ xấu lợi dụng tài khoản của solver.
CoW Swap là công cụ tổng hợp sàn giao dịch phi tập trung (DEX). Mục tiêu của CoW Swap là cung cấp cho người dùng mức giá tốt nhất trên các sàn giao dịch phi tập trung.
Cụ thể, theo BlockSec, địa chỉ ví của kẻ tấn công được thêm vào multisign của CoW Swap dưới dạng “solver”. Solver là những người trung gian cung cấp cho người dùng giá giao dịch tốt nhất.
Sau đó, địa chỉ này đã yêu cầu truy cập để phê duyệt DAI cho SwapGuard, dẫn đến việc SwapGuard chuyển DAI từ hợp đồng thanh toán CoW Swap sang các địa chỉ khác. Trong hợp đồng thông minh SwapGuard, có một chức năng cho phép chuyển tiền đến bất kỳ địa chỉ ví.
1/ Looks like 0x55a37a2e5e5973510ac9d9c723aec213fa161919 was added as a "solver" of @CoWSwap by the multisig in this tx: https://t.co/7jXhh2vBKh
— BlockSec (@BlockSecTeam) February 7, 2023
Then 0x55a invokes the tx to approve DAI to SwapGuardhttps://t.co/VjlfXHn5GF pic.twitter.com/bHLvWnsckn
Qua vụ tấn công này, một số thành viên cộng đồng đã lo ngại và kêu gọi người dùng thu hồi phê duyệt giao dịch trên sàn DEX này. CoW Swap cho biết điều này là không cần thiết và trấn an người dùng rằng tiền của người dùng không gặp rủi ro.
We are aware of an issue that has impacted the fees that CoW Protocol has collected over the past week.
— CoW Swap | Better than the best prices (@CoWSwap) February 7, 2023
We have mitigated the issue and are conducting an investigation.
Traders are in no way affected.
More details to follow.
Theo CoW Swap, hợp đồng thanh toán chỉ có quyền truy cập vào các khoản phí mà giao thức thu được trong tuần. Kẻ tấn công không thể truy cập trực tiếp vào tiền của người dùng nếu không có yêu cầu giao dịch được ký trực tiếp bởi họ, sàn cho biết thêm.
Trong khi đó, bất chấp các vụ hack xung quanh DeFi, các dự án DeFi vẫn có một khởi đầu thuận lợi vào năm 2023, theo báo cáo từ DappRadar. Dữ liệu cho thấy các giao thức DeFi đã có được sự tăng trưởng đáng kể về tổng TVL vào tháng 1/2023. Thị trường đạt 74,4 tỷ USD TVL tăng 26% so với tháng 12/2022.
Đọc thêm: Thị trường liquid staking trở nên sôi động hơn.