X100 và Arkadiko: Phân tích các cuộc tấn công quản trị - Tại sao khóa tài sản và chu kỳ bỏ phiếu dài lại thất bại?

Các dự án tiền điện tử cần cơ chế đệm cho quản trị.

Tác giả: Liam Akiba Wright

Biên dịch: Chopper, Foresight News

Hai cuộc tấn công quản trị gần đây đã tiết lộ cùng một khiếm khuyết thiết kế. Kẻ tấn công đã chiếm đoạt hai ghế quản trị của dự án X100 trong hệ sinh thái Ethereum, vào ngày 24 tháng 10 thông qua một giao dịch trên chuỗi để phê duyệt chuyển tiền từ kho bạc, đồng thời hoàn tất việc trả nợ vay chớp nhoáng.

Giao thức cho vay Arkadiko cho phép người dùng thế chấp tài sản trong kho để vay tiền. Một cuộc bỏ phiếu quản trị kéo dài 5 ngày của dự án đã kết thúc sớm, kẻ tấn công chỉ mua token gần thời điểm kết thúc bỏ phiếu để tham gia. Sau khi đề xuất ác ý được thông qua mà không có thời gian làm mát, hợp đồng ngay lập tức tiếp quản tài sản trong kho.

Hai sự kiện này đã phơi bày cùng một vấn đề: sự khóa vốn, quyền bỏ phiếu và thực thi đề xuất có một khoảng trống thiết kế giữa chúng. Token X100 được thiết lập khóa trong một năm, việc khóa dài hạn này làm tăng chi phí cho hành vi xấu, nhưng không làm trì hoãn thời gian có hiệu lực của quyền bỏ phiếu; chu kỳ bỏ phiếu của Arkadiko rất dài, cho phép thị trường có thời gian quan sát, nhưng không ngăn chặn việc đổ tiền vào gần cuối. Cả hai thiết kế đều không để lại một khoảng thời gian đệm sau khi đề xuất được phê duyệt để cộng đồng có thể ứng phó với rủi ro.

Token X100 bị khóa nhưng ngay lập tức có quyền quản trị

Hợp đồng Freezer của X100 quản lý các token X bị khóa, tỷ lệ đặt cược quyết định thứ hạng của ứng cử viên trong hội đồng quản trị, thời gian khóa được chia thành 1 năm, 3 năm và 5 năm, nhưng hợp đồng không yêu cầu thời gian nắm giữ tối thiểu. Trong cuộc tấn công vào ngày 24 tháng 10, hai hợp đồng phụ đã đặt cược 19000.000001 token X, chọn khóa trong một năm. Chúng đã đăng ký danh tính, vào thứ hạng hội đồng quản trị và bỏ hai phiếu quyết định, cho phép thực hiện đề xuất số 7. Tất cả các thao tác này được hoàn thành trong cùng một giao dịch.

Cơ chế quản trị này không có thời gian chờ bắt buộc: khi đề xuất đang trong giai đoạn mở, đa số ghế trong hội đồng quản trị có thể trực tiếp ủy quyền thực hiện. Kẻ tấn công kiểm soát 2 trong 3 ghế và đã có quyền thực hiện ngay lập tức. Sau khi đề xuất được thông qua, 400.000 token X trong kho đã được chuyển vào một quỹ mới do kẻ tấn công tạo ra, hợp đồng Freezer chỉ nhận được 35.675313 USDT. Kẻ tấn công sau đó đã rút token từ quỹ, bán token X để lấy tiền, dùng để trả nợ vay chớp nhoáng.

Token đặt cược vẫn giữ nguyên trạng thái khóa, kẻ tấn công không cần phải mở khóa tỷ lệ đặt cược, chỉ cần đánh cắp tài sản từ kho và sử dụng tiền thu được từ việc bán token để hoàn trả. Sau khi hoàn tất giao dịch tấn công, vốn gốc + lãi suất khoảng 4.75 triệu USDT đã chảy vào địa chỉ nhận cuối cùng. Người đóng góp ChainBounty, Philippark, đã theo dõi số tiền này, số tiền này chưa tính đến token X chưa bán và giá trị biến động của chúng, chỉ thống kê các chuyển khoản có thể theo dõi.

Hợp đồng Freezer có một ràng buộc: sau khi giao dịch hoàn thành, số dư X trong hợp đồng phải đủ để bảo vệ tất cả vốn gốc của người dùng đã đặt cược. Quy tắc này chỉ bảo vệ vốn gốc của người dùng, không thể bảo vệ tính thanh khoản của quỹ bên ngoài, cũng không thể giữ giá token trên thị trường thứ cấp.

Arkadiko: Vốn vào cuối kỳ bỏ phiếu có thể tham gia bỏ phiếu

Đề xuất số 12 của Arkadiko được nộp vào lúc 20:35 UTC ngày 17 tháng 10 và được thực hiện vào lúc 16:04 UTC ngày 22 tháng 10. Hợp đồng quản trị này thiết lập cửa sổ bỏ phiếu là 720 khối Bitcoin, tức là thường được gọi là 5 ngày.

Quy tắc yêu cầu người đề xuất phải nắm giữ 0.25% nguồn cung DIKO (token quản trị của Arkadiko) đủ điều kiện, tỷ lệ tham gia bỏ phiếu đạt 5% mới được coi là đủ số lượng hợp pháp, phiếu thuận nhiều hơn phiếu chống thì sẽ được thông qua. Tính toán lưu thông sẽ loại trừ DIKO trong hợp đồng phân phối ban đầu. Quy tắc hợp đồng không yêu cầu người bỏ phiếu phải nắm giữ token trước khi đề xuất được nộp. Ví wallet của kẻ tấn công đã mua token vào lúc 15:03 UTC ngày 22 tháng 10 và hoàn tất bỏ phiếu vào lúc 15:06, đầu tư khoảng 4.573 triệu DIKO.

Theo nguồn gốc chuỗi của Bitquery, 77% STX mà ví bỏ phiếu của kẻ tấn công nhận được đến từ số tiền bị đánh cắp trước đó từ StackSwap. (Lưu ý: StackSwap là DEX trong hệ sinh thái Stacks, đã bị tấn công quản trị vào ngày 20 tháng 10.)

Kẻ tấn công đã chuẩn bị vốn qua nhiều giao dịch, trong nhiều ngày, điều này có sự khác biệt rõ rệt với mô hình vay chớp nhoáng trong một giao dịch của X100. Điểm then chốt của cuộc tấn công này là: trong thời gian mở kênh bỏ phiếu, token mua sau có thể ngay lập tức có quyền bỏ phiếu. Khi bỏ phiếu đóng lại, đề xuất sẽ có hiệu lực ngay lập tức, không có thời gian chờ giữa việc bỏ phiếu thông qua và ủy quyền hợp đồng.

Hợp đồng vận hành kho của Arkadiko đã được kích hoạt có lỗ hổng: các hàm rút tiền và đúc USDA thiếu kiểm tra quyền gọi. Đề xuất số 12 đã đăng ký hợp đồng ác ý này làm hợp đồng vận hành kho, cấp quyền đúc. Chỉ vài phút sau khi đề xuất có hiệu lực, tức là vào lúc 16:06 UTC, kẻ tấn công đã chuyển sBTC; vào lúc 16:09 đã chuyển stSTX. Bitquery ước tính thiệt hại của Arkadiko trong lần này khoảng 1.09 triệu USD: trong đó 780.000 USD stSTX, 135.000 USD sBTC, và 173.000 USD từ việc kẻ tấn công đúc USDT không có tài sản thế chấp để bán.

Arkadiko trong bài viết phản hồi vào ngày 22 tháng 10 cho biết đã vô hiệu hóa hợp đồng ác ý và tạm ngừng quản trị, rút tiền kho và thanh lý. Công ty cho biết, kho stSTX và sBTC bị ảnh hưởng không thể sửa đổi vì tài sản thế chấp không khả dụng. Vào ngày 27 tháng 10, đề xuất số 14 "AIP 32.2 - Khôi phục hoạt động kho" đã được thực hiện, thiết lập mục hoạt động kho là hợp đồng hợp pháp của Arkadiko.

Bài học: Quản trị cần cơ chế đệm

Thiết lập ảnh chụp bỏ phiếu, yêu cầu token phải được nắm giữ trước một khoảng thời gian nhất định, có thể ngăn chặn token mới mua ngay lập tức có quyền bỏ phiếu; trong khi khóa thời gian thực thi, tách "đề xuất được thông qua" và "thao tác tài sản" thành hai giai đoạn độc lập. Nếu tất cả các thao tác đề xuất đều bắt buộc phải trải qua khóa thời gian, thì mô hình tấn công "một giao dịch vay tiền, tấn công, hoàn trả" như X100 sẽ không thể thành lập. Tất nhiên, kẻ tấn công nắm giữ vốn dài hạn vẫn có thể đợi đến khi kết thúc thời gian khóa để hành động, vì vậy cần phải hạn chế quyền thao tác của hợp đồng đề xuất một cách riêng biệt.

Tài liệu OpenZeppelin định nghĩa ảnh chụp quyền bỏ phiếu lịch sử và khóa thời gian thực thi đề xuất là hai cơ chế an toàn quản trị độc lập. Đặt vào hai trường hợp này, vấn đề cốt lõi là: khi nào vốn mới mua có quyền bỏ phiếu, hợp đồng có thể thực hiện những thao tác nào sau khi đề xuất được thông qua, và khoảng thời gian phản ứng mà cộng đồng có trước khi tài sản được điều động là bao lâu.

Trong thời gian khóa của token X, không thể mở khóa, ngay cả khi thêm khóa thời gian thực thi, cũng sẽ không thay đổi hạn chế không thể rút trước của tài sản đặt cược.

Hợp đồng kho Arkadiko phiên bản gốc v1-3 đã tự động có một cơ chế thoát: người dùng bình thường có thể lấy lại tài sản thế chấp sau khi thanh toán nợ và phí ổn định, khi chức năng được kích hoạt. Quy trình này dựa trên điều kiện là vốn đủ, tài sản thế chấp vẫn còn.

Cửa sổ bỏ phiếu 5 ngày có vẻ đã cho thị trường cảnh báo, nhưng cuộc bỏ phiếu quyết định chỉ hoàn thành gần thời hạn chót, và hợp đồng ác ý ngay lập tức có hiệu lực sau khi bỏ phiếu kết thúc. Nếu đơn giản cho rằng chu kỳ bỏ phiếu tương đương với cửa sổ dừng lỗ sau đó, sẽ che giấu thời điểm thực sự xảy ra rủi ro.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.