Hacker Kyberswap Ra yêu Sách Đòi Quyền Kiểm Soát Toàn Bộ Dự Án

Yên Đan

"Bất chấp" sự đe doạ pháp lý từ phía dự án, hacker KyberSwap đã đưa ra loạt yêu cầu mới và thậm chí đòi nắm quyền kiểm soát toàn bộ công ty.

Hacker KyberSwap ra "yêu sách" đòi quyền kiểm soát toàn bộ dự án

Tối ngày 30/11/2023, cộng đồng tiền mã hoá lại được phen "xôn xao" với thông tin mới liên quan "drama" hacker KyberSwap và phía đội ngũ điều hành dự án vì những lời đề nghị thương thuyết đầy tính "ngông cuồng".

Tường thuật diễn biến sự việc cụ thể như sau: Khi hoàn tất thực hiện tấn công thông qua hình thức flash loan gây thiệt hại 47 triệu USD cho sàn DEX KyberSwap vào ngày 23/11/2023, đội ngũ điều hành đã "hứa" thưởng bug bounty 10% nếu hacker hoàn trả tiền. Nhưng khi quá thời hạn hoàn trả, phía Kyber tiếp tục gây áp lực khi dọa liên hệ với cơ quan thực thi pháp luật và an ninh mạng báo cáo về sự việc để chuẩn bị tiến hành truy vết kẻ tấn công.

Đến ngày 29/11/2023, hacker đã có thông điệp phản hồi cho phía Kyber Network, nhưng chưa chính thức đưa ra quyết định về vụ việc, dự kiến sẽ đưa ra đề nghị mong muốn vào ngày 30/11 (theo giờ UTC).

Đúng như đã hẹn, tối ngày 30/11/2023, hacker đã chính thức đưa đề nghị thương thuyết của mình, nhưng nội dung trong đó đưa ra nhiều yêu cầu "bất ngờ", đáng chú ý nhất trong đó là đòi quyền kiểm soát toàn bộ Kyber Network.

Nội dung thông điệp đề nghị thương thuyết của hacker KyberSwap gửi cho phía ban điều hành dự án tối ngày 30/11/2023

Cụ thể, những yêu cầu của hacker KyberSwap như sau:

Hoàn toàn kiểm soát điều hành đối với Kyber Network.
Quyền tạm thời đối với KyberDAO để thực hiện các thay đổi quản trị.
Tất cả các tài liệu và thông tin liên quan đến việc hình thành, cơ cấu, hoạt động, doanh thu, lợi nhuận, chi phí, tài sản, nợ phải trả, nhà đầu tư, tiền lương, v.v của công ty/giao thức.
Giao nộp toàn bộ tài sản on-chain và off-chain của Kyber, bao gồm: cổ phiếu, vốn sở hữu, token (KNC và không phải KNC), quan hệ đối tác, blog, trang web, máy chủ, mật khẩu, mã code, tài khoản các kênh xã hội, và bất kỳ tài sản sáng tạo trí tuệ nào của Kyber.

Nếu phía Kyber Network đáp ứng những yêu cầu trên, đổi lại, hacker sẽ trao những "ưu đãi" như sau:

Công ty sẽ được mua lại với mức định giá hợp lý.
Toàn bộ nhân viên sẽ được hưởng lương tăng gấp đôi hiện tại. Những nhân viên không muốn ở lại sẽ được trả 12 tháng lương nghỉ việc với phúc lợi đầy đủ kèm hỗ trợ tìm việc mới.
Dưới sự quản lý của hacker, Kyber sẽ trải qua một cuộc lột xác hoàn toàn. Nó sẽ không còn là DEX phổ biến thứ 7 nữa mà thay vào đó là một dự án mã hoá hoàn toàn mới.
Các nhà cung cấp thanh khoản (Liquidity Provider - LP) sẽ được hoàn trả 50% cho hoạt động tạo lập thị trường gần đây của mình.

Hạn chót của "hiệp ước Kyber" mà hacker đưa ra để đội ngũ dự án đáp ứng là trước ngày 10/12/2023. Sau thời hạn, thoả thuận sẽ bị huỷ bỏ, toàn bộ số tiền từ vụ tấn công sẽ hiển nhiên "nằm im" trong túi của hacker, đồng nghĩa với việc đội ngũ Kyber Network không nhận được đồng nào.

Kết thư, người này còn tự nhận là "Giám đốc Kyber" như để tiếp tục trêu ngươi dự án.

Ngay sau "tối hậu thư" từ phía hacker, CEO Kyber Network là ông Victor Trần cũng "phản pháo" với tuyên bố "không ai quan tâm đến người dùng Kyber nhiều như đội ngũ hiện tại". Đồng thời đưa ra lời hẹn ngày 01/12/2023 sẽ có phản hồi cho thông điệp của hacker.

No one fucking cares about Kyber users like we do. You deserve the best. Message tomorrow @KyberNetwork.
— Victor Tran (@vutran54) November 30, 2023

Có thể thấy, đây được xem là một trong những vụ hack phức tạp và sử dụng mánh khóe tinh vi nhất trong lịch sử. Vào thời điểm thực hiện vụ hack, kẻ tấn công đã từng “gieo rắc" hy vọng khi để lại tin nhắn sẵn sàng thương lượng sau khi nghỉ ngơi đủ. Song đến nay, càng "thoả thuận" càng thất vọng, phía hacker vẫn chưa có động thái hợp tác với dự án vì cho rằng "không thích giọng điệu đe dọa đòi tiền của đội ngũ điều hành".

Đơn vị bảo hiểm DeFi Sherlock cũng chia sẻ sự cảm thông với Kyber Network và nêu bật sự khắc nghiệt cũng như khó khăn trong việc tìm ra lỗ hổng trên.

Tuy nhiên, cũng trong thông báo của mình, Sherlock cho biết Kyber không đăng ký chương trình bảo hiểm, do đó dẫn đến việc không được nhận bồi thường sau sự cố lần này. Đơn vị này cũng đính chính rằng có khoản đền bù thì cũng là rất nhỏ so với con số 54,7 triệu USD thiệt hại hiện tại.

Sherlock is extremely disappointed to see the @KyberNetwork exploit and is engaged fully in assisting Kyber.

The hack is one of the most complex exploits ever seen in DeFi but this does not absolve Sherlock from responsibility.[1]

For background, the Kyber team stands out as a… pic.twitter.com/dBnRECMs3T
— SHERLOCK (@sherlockdefi) November 25, 2023