Toàn cảnh vụ hack như trò đùa của dForce: Hacker trả lại 25 triệu đôla sau 4 ngày

Phải biết rằng dForce là nền tảng hợp đồng thông minh lớn thứ 7 về giá trị tài sản bị khoá. Do đó, việc hơn 25 triệu đôla token bị đánh cắp qua một lỗ hổng bảo mật phổ biến (dù số tiền mất cắp đã được trả lại), là điều khó có thể chấp nhận được.

Tóm lược về vụ việc: Điều đáng chú ý là phương thức tấn công

Vụ hack xảy ra hôm 19 tháng 4 khi người dùng của dForce phát hiện ra một lượng coin gần 25 triệu đôla đã bị rút khỏi hợp đồng thông minh (smart contract) của nền tảng tài chính phi tập trung này. Ban đầu, hacker đã đánh cắp khoảng 10 triệu đôla với các token Ethereum và phần còn lại đối với Tether (USDT) và một số stablecoin bị khoá trong giao thức của dForce.

Điều đáng nói ở đây là nhóm tin tặc đã thực hiện thành công vụ hack này thông qua một lỗ hổng bảo mật là Re-Entrancy attack (tạm dịch: tấn công tái sinh hay khai thác gửi đệ quy). Đây là một lỗ hổng đặc biệt nguy hiểm nhưng khá thường gặp trong các hợp đồng thông minh. Lỗi này giúp kẻ tấn công chiếm được quyền điều khiển mạng lưới và thực hiện, thay đổi các giao dịch của người dùng. Vào năm 2016, hacker cũng đã lợi dụng lỗi này để rút hơn 50 triệu đôla từ một nền tảng có cơ chế tương tự dForce, tên là the DAO.

Trả lại tiền: Bước đi khôn ngoan của dForce trong việc vãn hồi uy tín của người dùng

May mắn thay, chỉ 4 ngày sau đó, toàn bộ số tiền đánh cắp đã được trả lại cho dForce. Có rất nhiều câu hỏi xoay quanh câu chuyện tưởng như trò đùa này. Một số nguồn tin cho biết dForce đã lần ra địa chỉ IP của hacker và thương lượng để chúng trả lại số tiền, trước khi địa chỉ IP này được gửi cho cảnh sát. Hiện tại, dForce chưa đưa ra bất cứ lời giải thích chính thức nào về cách mà họ đã lấy lại được số tiền. Thay vào đó, nền tảng này đã nhanh chóng trả lại số tiền bị đánh cắp cho người dùng. Cụ thể, thứ 2 tuần trước, dForce đã thành lập quy trình bồi thường cho các nạn nhân. Thậm chí, nền tảng này còn mời bên một bên thứ 3 về làm kiểm toán để đảm bảo sự minh bạch cho cả quá trình.