Kyberswap Bị Tấn Công Thiệt Hại 47 Triệu Usd

Thái Lâm

Sàn DEX KyberSwap đã bị hacker tấn công vào pool thanh khoản, thất thoát số tiền lên đến 47 triệu USD.

KyberSwap bị tấn công, thiệt hại 47 triệu USD

Cập nhật ngày 27/11/2023:

Đội ngũ Kyber Network đã xác nhận chính thức số tiền thiệt hại từ vụ tấn công KyberSwap là 54,7 triệu USD. Dự án cũng cho biết thủ đoạn hack của tin tặc là vô cùng tinh vi, thể hiện sự chuẩn bị kỹ càng.

2/ On Nov 22 10:54 PM UTC, attackers exploited KyberSwap Elastic smart contracts using a series of complex actions to conduct exploitative swaps, enabling the withdrawal of users’ funds into the attackers’ wallets. Around $54.7M of users’ funds were exploited by the attackers.
— Kyber Network (@KyberNetwork) November 24, 2023

Bên cạnh đó, Kyber Network đã liên hệ với những cá nhân chạy MEV Bot trên các chain Polygon và Avalanche, từ đó khôi phục được 5,7 triệu USD.

The KyberSwap team has been in contact with the owners of the frontrun bots that extracted about $5.7M* worth of funds from KyberSwap pools on Polygon and Avalanche during the exploit.
We have negotiated with the owners of the frontrun bots to return 90% of the users’ funds taken…
— Kyber Network (@KyberNetwork) November 26, 2023

Về phần đàm phán với hacker, KyberSwap đã đề nghị trao thưởng bug bounty 10% để hacker trả lại 90% lượng tài sản đã đánh cắp, song vẫn chưa nhận được hồi âm.

Bài viết gốc:

Rạng sáng ngày 23/11, cộng đồng tiền mã hóa trên X (Twitter) đang xôn xao về vụ tấn công DeFi mới nhất, lần này nhắm vào sàn DEX KyberSwap.

Theo đó, các pool thanh khoản Elastic của giao thức này đã bị kẻ xấu bòn rút lượng lớn tiền, với giá trị ước tính là 47 triệu USD. Hacker đã cướp tài sản trên nhiều blockchain được KyberSwap hỗ trợ mở pool thanh khoản, gồm Ethereum, Arbitrum, Optimism, Base, Polygon,...

current total is 47m. possibly more chains still to follow idk pic.twitter.com/FtV7Ol1HE7
— Spreek (@spreekaway) November 22, 2023

Đáng chú ý, lượng lớn tiền bị lấy đi nằm dưới dạng các token khóa thanh khoản và liquid staking của ETH, như đã được tài khoản Hsaka chỉ ra.

kyber exploiter wallet

you look at all the various wrappers, prefixes, suffixes of the same token, ETH, and realize, yeah, eventually all this is going to have to be abstracted for the common user pic.twitter.com/Hvcjq54zxy
— Hsaka (@HsakaTrades) November 22, 2023

Tuy nhiên, hacker có vẻ đã quên mất pool trên Scroll khi trong đây vẫn còn 5 triệu USD tài sản chưa bị đụng đến.

Hacker hasn't drained on Scroll Yet, just created contract.

$5M can still be savedhttps://t.co/fNPpYgGzrT pic.twitter.com/Jd7G17xBmt
— Wazz (@WazzCrypto) November 22, 2023

Các phân tích ban đầu cho thấy chỉ có pool thanh khoản của KyberSwap là bị tấn công thông qua hình thức flash loan, do đó người dùng không cần phải revoke quyền truy cập đã cấp cho Kyber trước đó.

Kyber Nework sau đó cũng lên tiếng xác nhận vụ việc, đồng thời yêu cầu người dùng rút toàn bộ tiền để đề phòng các lỗ hổng tiềm tàng khác.

?Urgent?

Dear KyberSwap Elastic Users,
We regret to inform you that KyberSwap Elastic has experienced a security incident.

As a precautionary measure, we strongly advise all users to promptly withdraw their funds. Our team is diligently investigating the situation, and we…
— Kyber Network (@KyberNetwork) November 22, 2023

Theo dữ liệu từ DefiLlama, các sản phẩm DeFi của Kyber tức mức TVL 86 triệu USD đã giảm về còn 27 triệu USD ở thời điểm viết bài, khi người dùng ồ ạt rút tiền.

Biến động TVL của KyberSwap . Nguồn: DefiLlama (23/11/2023)

Cộng đồng còn chỉ ra “độ ngông” của hacker khi vừa thực hiện các giao dịch rút tiền, vừa để lại chỉ dẫn mô tả hành động của mình.

DONEEEEEEEEEE pic.twitter.com/0R1JGjfcHp
— Fudzy (@fozzydiablo) November 23, 2023

Chưa dừng lại ở đó, hắn còn gửi thông điệp đến đội ngũ Kyber, tuyên bố sẵn sàng thương lượng để trả lại tiền, nhưng phải chờ “đến khi nghỉ ngơi đầy đủ xong”.