MAPO đã gặp sự cố hơn 96% sau khi khai thác xung đột băm trên Butter Bridge cho phép kẻ tấn công kiếm được gần 1 triệu triệu token. MAP Protocol hiện đã tạm dừng giao dịch và lên kế hoạch cho một hợp đồng mới.
Mã thông báo không chảy ra từ từ. MAPO đã giảm hơn 96% chỉ trong vài giờ sau khi kẻ tấn công tìm ra cách thuyết phục Butter Bridge rằng nó đã xử lý một giao dịch hợp pháp.
Công ty bảo mật Blockaid đã gắn cờ sự cố trên X, xác định mục tiêu là Butter Bridge V3.1, còn được gọi là OmniServiceProxy. Theo Bị chặn trên X, kẻ tấn công đã lừa cầu nối trên cả Ethereum và BSC, đúc khoảng 1 triệu triệu mã thông báo MAPO trực tiếp vào một ví mới. Nguồn cung lưu hành hợp pháp vào khoảng 208 triệu. Chỉ riêng phép toán đó đã giải thích được hầu hết hành động giá.
Lỗi không ai gắn cờ cho đến khi quá muộn
Nguyên nhân cốt lõi không phải là rò rỉ chìa khóa. Đó không phải là vấn đề với hợp đồng riêng của MAPO. mỗi Sự cố kỹ thuật của Blockaid trên X, thông báo chuỗi chéo đã được xác thực của cầu nối sẽ thử lại bằng cách sử dụngkeccak256(abi.encodePacked(…))trên bốn trường byte động liên tiếp. Vấn đề:abi.encodeĐã đóng góikhông thêm tiền tố độ dài. Việc phân bổ trường khác nhau có thể tạo ra cùng một chuỗi byte và do đó có cùng hàm băm.
Kẻ tấn công đã gửi một thông báo MAP-to-ETH thực, có chữ ký oracle trỏ đến một địa chỉ được tính toán trước. Không có hợp đồng tồn tại ở đó. Cây cầu đã lưu vào bộ nhớ đệm lần thử lại “NotContract”. Sau đó, hợp đồng khai thác đã được triển khai đến địa chỉ chính xác đó.
Điều tiếp theo là một trình tự ba bước. mỗi Bị chặn trên X, kẻ tấn công đã gọithử lạiMessageInsử dụng các ranh giới trường được sắp xếp lại được đóng gói thành chuỗi 601 byte giống hệt nhau. Cùng một hàm băm, cùng một thẻ bảo vệ. Cây cầu đã đúc 10^15 MAPO thẳng vào ví của kẻ tấn công.
Cầu chuỗi chéo khai thác việc đúc các token trái phépđã trở thành mô hình lặp lại trên cơ sở hạ tầng DeFi trong năm nay.
52 ETH đã biến mất. Gần một triệu triệu token vẫn còn ở đó
Kẻ tấn công di chuyển rất nhanh. Blockaid đã được xác nhận trên X52,21 ETH, tương đương 180.000 USD, đã bị rút khỏi nhóm Uniswap V4 ETH/MAPO sau khi khoảng 1 tỷ MAPO được đổ vào đó. Con số đó nghe có vẻ lớn. Nó cũng ít hơn 0,001% số tiền mà kẻ tấn công nắm giữ.
Khoảng 999,999 tỷ MAPO vẫn còn trong ví của kẻ tấn công tại thời điểm báo cáo, theo Blockaid. Giao dịch khai thác được hiển thị trên Etherscan tại 0x31e56b4737649e0acdb0ebb4eca44d16aeca25f60c022cbde85f092bde27664a. Địa chỉ của kẻ tấn công là 0x40592025392BD7d7463711c6E82Ed34241B64279và hợp đồng khai thác nằm ở 0x2475396A308861559EF30dc46aad6136367a1C30.
Giao thức MAP đã xác nhận nhận thức về X cùng ngày. Giao thức MAP cho biết trên Xrằng nhóm đã biết và phối hợp với các đối tác an ninh bên ngoài để điều tra và ngăn chặn. Cầu nối giữa MAPO ERC-20 và MAPO mạng chính đã bị tạm dừng.
Giao thức MAP chuyển sang vô hiệu hóa nhóm kẻ tấn công
Đến ngày hôm sau, phản ứng chuyển từ ngăn chặn sang đại tu cấu trúc. Giao thức MAP được công bố vào ngày Xtạm dừng tất cả các dịch vụ chuyển đổi giữa các mã thông báo MAPO trên địa chỉ hợp đồng ERC20 ban đầu 0x66d79b8f60ec93bfce0b56f5ac14a2714e509a99 trên cả mạng BSC và Ethereum và MAPO trên mạng chính Giao thức MAP.
Nhóm cho biết tất cả các sàn giao dịch có liên quan đã được thông báo về việc vô hiệu hóa việc gửi và rút tiền đối với các token này. Người dùng được cảnh báo tránh giao dịch MAPO liên quan đến hợp đồng ban đầu trên các nền tảng phi tập trung, bao gồm Uniswap và PancakeSwap.
Một địa chỉ hợp đồng mới sẽ được công bố. Ảnh chụp nhanh sẽ được chụp vào ngày mà dự án cho là phù hợp. Bất kỳ mã thông báo nào vẫn được giữ bởi các địa chỉ do kẻ tấn công kiểm soát, tại thời điểm này lên tới hàng trăm tỷ, sẽ bị loại trừ hoàn toàn khỏi mọi chuyển đổi hoặc ảnh chụp nhanh trong tương lai.
Giao thức MAP cũng được ghi chú trên X, trong phần tiếp theo thừa nhận việc PeckShield theo dõi vụ việc, rằng nhóm đã phối hợp với các sàn giao dịch và đối tác kể từ khi xảy ra vụ vi phạm. Một tuyên bố chính thức bao gồm các bước tiếp theo, thông tin chi tiết về ảnh chụp nhanh và hợp đồng mới đang được chuẩn bị.
Sự cố cầu nối đã dẫn đến tỷ lệ tổn thất tiền điện tử không tương xứng vào năm 2026, với những kẻ tấn công liên tục nhắm mục tiêu vào các giao lộ nơi tự động hóa và độ tin cậy chồng chéo.
Người dùng đã được dự án khuyên chỉ nên dựa vào các kênh chính thức. Nhóm nghiên cứu cảnh báo nên bỏ qua hướng dẫn không chính thức.
Nguồn: Live Bitcoin News
Để lại một bình luận