Mirror Protocol Trên Hệ Terra âm Thầm Vá Lỗ Hổng Gây Thiệt Hại 897 Triệu Usd

Diệu Hiền

Những tin tức tiêu cực xoay quanh hệ sinh thái Terra tiếp tục nối dài với cái tên mới nhất bị ảnh hưởng là Mirror Protocol.

Mirror Protocol Trên Hệ Terra âm Thầm Vá Lỗ Hổng Gây Thiệt Hại 897 Triệu Usd — Mirror Protocol trên hệ Terra “âm thầm” vá lỗ hổng gây thiệt hại 89,7 triệu USD

Lưu ý: Thông tin được FatMan đưa ra chưa được kiểm chứng đối soát bởi các bên khác và không nên được xem là sự thật.

Theo tài khoản Twitter @FatManTerra, một nhân vật đang nổi lên trong thời gian gần đây vì “vạch trần” những điều mờ ám xoay quanh hệ sinh thái Terra, giao thức Mirror Protocol trên đây đã bị bòn rút tiền từ lâu và mới chỉ vá lỗ hổng ngay trước khi LUNA-UST sập.

Mirror Protocol là một nền tảng token hóa các loại chứng khoán và cho phép nhà đầu tư giao dịch, từng bị SEC “sờ gáy” khi bị cáo buộc cung cấp sản phẩm cho người dùng Mỹ. SEC thậm chí còn gửi trát hầu tòa cho CEO Do Kwon của Terraform Labs về vấn đề ấy, đẩy cả hai vào cuộc chiến pháp lý kể từ đó đến nay.

FatMan tuyên bố theo các điều tra của mình, giao thức Mirror Protocol đã tồn động một lỗ hổng với với cơ chế khóa tài sản thế chấp nhưng không được phát hiện. Thông thường thì người dùng có thể khóa tài sản và tiến hành mở khóa sau 14 ngày. Tuy nhiên, mã nguồn của cơ chế này thì lại không có biện pháp chống việc gửi đi gửi lại lệnh mở khóa nhiều lần.

Let’s go back to May 9th, when a Mirror contract migration to fix short rewards locked people’s funds by accident. We’ve discussed this before – that’s not the point. But take a look at this thread. https://t.co/Qaw91D42dz (1/12)

— FatMan (@FatManTerra) May 27, 2022

FatMan đã đưa ra bằng chứng cho thấy một kẻ tấn công đã phát hiện ra lỗi này và thực hiện thế chấp 10.000 USD tài sản vào Mirror, sau đó thực hiện liên tục các yêu cầu mở khóa tài sản thế chấp và rút tiền, kết quả là lấy đi thành công 4,3 triệu USD từ dự án.

Kẻ tấn công sau đó còn lợi dụng lỗ hổng thêm nhiều lần nữa, rút được hơn 30 triệu USD khỏi Mirror. Một nguồn khác khẳng định tổng thiệt hại từ lỗ hổng là hơn 89,7 triệu USD.

The total amount drained in this one TX from the Mirror bug was 89,706,133 UST !!! In October 2021.

1/ I think this is the only exploit of this bug by any wallet.
2/ Why did the hacker only exploit the lucrative bug once?
3/ Who funded the hacker? https://t.co/wpn6gWMVmq

— Pedro (@pedroexplore1) May 27, 2022

FatMan bình luận:

“Sau một chút may mắn và rất nhiều công sức nghiên cứu, tôi đã tìm ra một trong những vụ tấn công lỗ hổng smart contract nghiêm trọng nhất song cũng đơn giản nhất trong lịch sử ngành blockchain, không hề bị phát hiện trong gần 1 năm. Ai đã làm điều này? Tôi không biết nhưng tôi sẽ cố tìm ra.”

Lỗ hổng mở khóa sau đó đã được Mirror “âm thầm” vá trong một bản cập nhật áp dụng vào ngày 09/05/2022, tức 1 ngày sau khi UST bị de-peg lần đầu tiên và chỉ ít ngày trước khi toàn bộ mô hình LUNA-UST đổ sập. Lỗ hổng bị vá mà không hề được thông báo đến cộng đồng của dự án, bất kể mức độ quan trọng và thời gian tồn tại từ rất lâu rồi của nó.

FatMan trước đó còn lên tiếng cáo buộc Mirror Protocol là một dự án được Terraform Labs lập nên song vẫn giữ quyền chi phối đa số. Điều này thể hiện qua việc có một ví tiền nằm trong top 20 trên Mirror Protorcol, có khả năng chi phối hoạt động quản trị thông qua bỏ phiếu bằng token MIR, nhưng lại “chia nhỏ” tiền nắm giữ nhằm tạo ảo tưởng “phi tập trung” cho dự án.

?? Here’s a deep dive into chain data suggesting Mirror Protocol, TFL’s ‘decentralized’ stock exchange, is really just a farce designed to enrich Do Kwon/VCs while manipulating governance and screwing over retail. Thank you for being so bad at hiding on-chain moves, Do. ??

— FatMan (@FatManTerra) May 25, 2022

Ví này sau đó còn staking lượng MIR của mình, farm thêm token MIR và bán ra thị trường. FatMan cáo buộc đây là địa chỉ ví của Jump Crypto, một quỹ đầu tư lớn trong ngành tiền mã hóa, từng vung tiền ra cứu UST khi đồng stablecoin này bị de-peg vào tháng 05/2021, chi 325 triệu USD để cứu Wormhole vào tháng 02/2022 và mới đây nhất cũng bỏ ra 682 triệu USD để giữ giá cho UST trong sự kiện sập đổ vừa rồi, song đã thất bại.

FatMan cho biết đã được một nguồn tin nội bộ từ Jump cùng nhiều nguồn khác tiết lộ về mối quan hệ giữa Terra/Do Kwon với Jump Crypto và cả sàn FTX để thao túng giá trị nhiều token và xả lên đầu người dùng, song không đưa ra bằng chứng cụ thể.