Lỗ hổng hợp đồng Rain card mất $1.1 triệu, AVICI giảm 49%
Avici cho biết 500,800 USD đã bị lấy từ số dư quỹ thẻ của 1,685 người dùng, với việc hoàn tiền được hứa hẹn nhưng không có thời gian cụ thể.
Một kẻ tấn công đã khai thác một lỗ hổng trong hợp đồng tài trợ thẻ Rain lỗi thời trên Solana, rút khoảng 1,1 triệu đô la từ nhiều chương trình vào ngày 29 tháng 8. Avici đã công bố khoản lỗ 500.800 đô la từ 1.685 người dùng và chứng kiến token AVICI của mình giảm tới 49% trước khi phục hồi một phần khi các cam kết hoàn trả đến mà không có lịch trình cụ thể.
Điểm nổi bật chính
- Một lỗ hổng trong hợp đồng thẻ Rain đã lỗi thời trênSolanađã bị khai thác, rút khoảng 1,1 triệu đô la từ nhiều chương trình sử dụng Rain.
- Avici đã tiết lộ số tiền 500,800 USD bị đánh cắp từ 1,685 người dùng và cho biết vụ vi phạm chỉ giới hạn trong các hợp đồng nạp tiền bằng thẻ chứ không phải của người dùng tự quản lý.quản lý tài sảnví.
- AVICI đã giao dịch từ mức cao 24 giờ là $0.43 xuống mức thấp kỷ lục là $0.217, giảm 49%.giảm sút, trước khi bật lên các mức được mô tả là khoảng $0.305 và khoảng $0.378.
- Tria báo cáo 636 người dùng bị ảnh hưởng với tổng thiệt hại hơn $430,000 và cam kết hoàn trả đầy đủ khi token của nó giảm hơn 10% tại một thời điểm.
Lỗ hổng Hợp đồng Thẻ Rain Cũ Kỹ thuật Kích hoạt Sự Giảm 49% của AVICI
Một lỗ hổng Solana liên quan đến hợp đồng thẻ Rain cũ đã biến thành một sự kiện rủi ro ở cấp độ token trong vài giờ. Khoảng $1.1 triệu đã bị rút ra từ nhiều chương trình sử dụng cùng một cơ sở hạ tầng thẻ, với Avici và Tria là hai chương trình duy nhất công khai định lượng tác động đến người dùng.
Avici cho biết số tiền bị đánh cắp là $500,800 từ 1,685 người dùng. Phản ứng của thị trường là ngay lập tức. AVICI đã giảm từ mức cao 24 giờ là $0.43 xuống mức thấp kỷ lục là $0.217, giảm 49%, trước khi phục hồi.
Mức phục hồi là hỗn độn. Một điểm tham chiếu đặt mức bật lên sau thấp là $0.305, trong khi một điểm khác đặt nó xung quanh $0.378 tại thời điểm viết. Sự khác biệt đó ít quan trọng hơn so với cấu trúc của động thái: token giao dịch như một proxy cho niềm tin vào cơ sở hạ tầng, không giống như một sự cố bị kiểm soát với một ranh giới rõ ràng.
Tria, một neobank crypto khác đang vận hành một thiết lập thẻ sử dụng Rain, cho biết 636 người dùng bị ảnh hưởng với tổng thiệt hại hơn $430,000. Họ cam kết hoàn trả đầy đủ cho người dùng ngay cả khi token của họ giảm hơn 10% tại một thời điểm.
Rain cho biết việc giám sát của họ đã xác định được lỗ hổng trong một phiên bản hợp đồng cũ được Avici sử dụng và “một số chương trình khác nhỏ.” Rain cho biết họ đã nâng cấp mọi chương trình đang chạy phiên bản đó và không báo cáo thêm hoạt động trái phép nào.
Những gì đã bị rút: Hợp đồng Tài trợ Thẻ so với Ví ‘Tự Giữ’
Sự phân biệt quan trọng trong sự cố này là nơi mà các quỹ nằm ở thời điểm bị xâm phạm. Avici mô tả mình là một neobank tự giữ, nhưng dòng nạp tiền thẻ tạo ra một sự chuyển giao quyền giữ mà các nhà giao dịch nên mô hình hóa riêng biệt với bảo mật ví.
Avici cho biết cuộc tấn công chỉ giới hạn trong một hợp đồng Solana giữ tiền sau khi khách hàng nạp tiền vào thẻ của họ. Họ cho biết ví tự quản lý của người dùng trên Solana vàEthereum-các mạng tương thích không bị ảnh hưởng. Nói cách khác, lỗ hổng đã nhắm vào lớp số dư chi tiêu, không phải lớp ví do người dùng kiểm soát.
Đây là phần thường bị định giá sai. “Tự lưu trữ” có thể đúng với sản phẩm ví nhưng vẫn không liên quan đến sản phẩm thẻ, vì chi tiêu bằng thẻ cần một pool lập trình.stablecoinscó thể bị trừ, được ủy quyền và được thanh toán. Hồ bơi đó là mộthợp đồng thông minhdiện tích bề mặt, và ở đây chính là diện tích bề mặt đã thất bại.
Các bên đối tác cũng không phải là khái niệm trừu tượng. Các điều khoản thẻ của Avici xác định Third National là đơn vị phát hành thẻ. Rain, được mô tả là một thành viên chính của Visa, cung cấp cơ sở hạ tầng thẻ stablecoin. Đó là cấu trúc làm cho thẻ hoạt động. Nó cũng là thứ tập trung rủi ro vận hành và rủi ro hợp đồng thông minh vào một sự phụ thuộc chung.
Hiệu ứng bậc hai là rõ ràng: một khi một đường ray chung được coi là dễ vỡ, mọi token gắn liền với các chương trình trên đường ray đó đều thừa hưởng một phần rủi ro, ngay cả khi việc giữ ví ở cấp ứng dụng của nó vẫn nguyên vẹn.
Cách kẻ tấn công đã chiếm quyền kiểm soát và số tiền đã đi đâu
Mô hình khai thác được mô tả trong dữ liệu giao dịch có khả năng mở rộng về mặt hoạt động, điều này giúp giải thích tại sao nhiều chương trình bị tấn công chứ không phải chỉ một bể đơn lẻ.
Kẻ tấn công đã nhiều lần gửi một ủy quyền đã ký, tự thêm mình vào vai trò quản trị viên của từng thẻ-tài sản thế chấpcác tài khoản và rút số dư. Chuỗi hành động đó ngụ ý rằng kẻ tấn công không cần phải brute force từng tài khoản từ đầu. Họ có thể tái sử dụng một quy trình ủy quyền để nâng cao quyền hạn từng tài khoản một, sau đó rút hết.
Sau khi rút tiền, con đường của các quỹ đã theo một kịch bản quen thuộc được thiết kế để giảm khả năng truy vết và tăng tính linh hoạt. Các stablecoin bị đánh cắp đã được hoán đổi thành SOL, chuyển qua Ethereum, và cuối cùng được chuyển qua Tornado Cash.
Hai hệ quả được rút ra. Đầu tiên, nhánh SOL cho thấy kẻ tấn công đã tối ưu hóa cho tính thanh khoản và tốc độ trên Solana trước khi di chuyển qua chuỗi. Thứ hai, cầu nối đến Ethereum và việc định tuyến qua Tornado Cash cho thấy ý định che giấu dấu vết hơn là ngay lập tức rút tiền qua một địa điểm duy nhất.
Rain cho biết họ đã nâng cấp mọi chương trình đang chạy phiên bản hợp đồng lỗi thời và không thấy hoạt động trái phép nào khác. Đó là tuyên bố về việc kiểm soát. Điều còn lại chưa rõ là liệu có bất kỳ triển khai nào khác hoặc hợp đồng liên quan nào chia sẻ các mẫu ủy quyền hoặc phân công quản trị tương tự có thể bị lạm dụng trong các điều kiện khác hay không.
Lời hứa hoàn tiền, rủi ro không xác định, và bối cảnh tăng trưởng Crypto-Card
Các cam kết hoàn tiền đang thực hiện công việc tạo cảm xúc hiện tại, nhưng chi tiết thực hiện mới là yếu tố kích thích thực sự. Avici đã cam kết hoàn tiền đầy đủ cho tất cả các số dư thẻ bị ảnh hưởng và cho biết họ đã nộp báo cáo cho Trung tâm Khiếu nại Tội phạm Internet của FBI. Họ không cho biết khi nào các khoản hoàn tiền sẽ đến hoặc chúng sẽ được tài trợ như thế nào.
Khoảng cách giữa khoảng 1,1 triệu đô la được theo dõi trên chuỗi và sự công bố 500.800 đô la của Avici cho thấy các chương trình khác được hỗ trợ bởi Rain cũng bị ảnh hưởng. Rain cho biết một "số lượng nhỏ" các chương trình khác đã bị ảnh hưởng, nhưng cả Rain và các chương trình bị ảnh hưởng đều không xác định danh sách đầy đủ hoặc công bố tổng thiệt hại theo chương trình ngoài Avici và Tria.
Sự không chắc chắn đó không chỉ là lý thuyết đối với các nhà giao dịch. Nếu các chương trình bổ sung công bố thiệt hại, thị trường sẽ định giá lại sự cố từ "hai ứng dụng bị ảnh hưởng" thành "sự cố đường ray chung", và tỷ lệ chiết khấu trên bất kỳ token nào liên quan đến đường ray đó thường có xu hướng mở rộng.
Bối cảnh là sự tăng trưởng. Chi tiêu thẻ tiền điện tử được theo dõi đã tăng gấp ba lần lên 1,04 tỷ đô la vào tháng 7, với stablecoin tài trợ 70% trong hơn 10 triệu giao dịch. Nhiều khối lượng có nghĩa là nhiều số dư ngồi trong các hợp đồng thế chấp thẻ, và nhiều động lực hơn cho các kẻ tấn công tìm kiếm các triển khai lỗi thời và sai sót trong việc cấp phép.
Trong ngắn hạn, bốn tín hiệu quan trọng hơn các câu chuyện:
Avici cần công bố thời gian hoàn tiền và nguồn tài trợ, cho dù đó là ngân quỹ, bảo hiểm, hỗ trợ từ đối tác hay một cơ chế khác. Nếu không có điều đó, lời hứa đọc như một ý định, không phải là sự thanh toán.
Rain cần làm cho việc khắc phục trở nên rõ ràng. "Đã nâng cấp mọi chương trình chạy phiên bản đó" là một tuyên bố mà các nhà giao dịch sẽ muốn được xác nhận bằng cách lập bản đồ rõ ràng phiên bản hợp đồng và xác nhận rằng không có triển khai lỗi thời nào còn hoạt động.
Thị trường cũng cần bản đồ tiếp xúc còn thiếu. Việc xác định các chương trình bị ảnh hưởng khác và tổng thiệt hại của chúng là sự khác biệt giữa một tiêu đề đơn lẻ và một sự định giá lại hệ thống của các đường ray thẻ tiền điện tử.
Cuối cùng, dấu vết trên chuỗi vẫn là một biến số còn sống ngay cả sau khi định tuyến Tornado Cash. Bất kỳ sự cụm hoặc liên kết nào với các thực thể đã biết sẽ thay đổi xác suất phục hồi, và nó cũng sẽ thay đổi cách mà các bên đối tác định giá rủi ro của các nỗ lực trong tương lai.
Đọc của tôi: Đây Là Rủi Ro Hạ Tầng Xuất Hiện Dưới Dạng Biến Động Token
Tôi đọc động thái AVICI như là thị trường định giá một sự cố phụ thuộc chung, không phải một sự cố của một ứng dụng. Các con số hỗ trợ cho khung đó. Khoảng 1,1 triệu đô la bị rút ra từ nhiều chương trình không phải là một câu chuyện "người dùng bị lừa đảo". Đây là một lỗ hổng ở cấp đường ray đã xảy ra và thể hiện qua các token có vốn hóa nhỏ với thanh khoản mỏng.
Ngưỡng quan trọng không phải là sự giảm giá từ $0.217. Mà là liệu Avici có thể biến “hoàn tiền đầy đủ” thành các khoản thanh toán có thời hạn và được tài trợ hay không. Nếu Avici công bố một lịch trình rõ ràng và một nguồn tài trợ đáng tin cậy, áp lực sẽ giảm bớt và token có thể giao dịch trở lại theo các yếu tố cơ bản của ứng dụng thay vì dựa vào niềm tin vào nền tảng.
Nếu thời gian vẫn mở, token sẽ tiếp tục chịu mức chiết khấu tài chính vì trách nhiệm là có thật ngay cả khi lớp ví không bị ảnh hưởng.
Cũng có một ngưỡng thứ hai đứng sau tuyên bố khắc phục của Rain. Nếu “đã nâng cấp mọi chương trình đang chạy phiên bản đó” của Rain được giữ vững và không có chương trình bổ sung nào xuất hiện với tổn thất đáng kể, sự cố sẽ được giới hạn và thị trường có thể coi đó là một thất bại trong triển khai di sản.
Nếu nhiều chương trình công bố tổn thất, hoặc nếu một triển khai lỗi thời khác được phát hiện, câu chuyện sẽ chuyển từ “hợp đồng lỗi thời” sang “kiểm soát quy trình,” và đó là lúc mức phí rủi ro trở thành cấu trúc.
Cơ chế khai thác chỉ ra quy mô. Việc sử dụng lại một ủy quyền đã ký để thêm quyền quản trị trên nhiều tài khoản có tài sản thế chấp thẻ là kiểu mẫu biến lỗi thành một cuộc quét. Đó là lý do tại sao danh tính của các chương trình bị ảnh hưởng khác lại quan trọng. Nó cho bạn biết liệu đây có phải là việc quét cơ hội tìm ra một vài mục tiêu dễ bị tổn thương, hay là một phương pháp có thể lặp lại được áp dụng trên một bề mặt rộng hơn.
Điểm xác nhận thực tiễn rất đơn giản: hoàn tiền có thời hạn và tài trợ, cộng với một báo cáo đầy đủ về các chương trình bị ảnh hưởng, sẽ biến sự việc này trở lại thành một sự cố riêng biệt. Nếu không có hai thông báo đó, sựbiến động của AVICI là cách mà thị trường định giá sự không chắc chắn về cơ sở hạ tầng vào một token không thể thoát khỏi các phụ thuộc của nó.
