Giới thiệu

Vào ngày 21 tháng 2 năm 2025, một sự cố bảo mật nghiêm trọng đã xảy ra tại sàn giao dịch tiền điện tử Bybit, dẫn đến việc mất trội hơn 1,5 tỷ đô la tài sản. Mặc dù các quan chức của Bybit đã phản ứng kịp thời và tuyên bố rằng họ có thể chịu đựng các thiệt hại, sự kiện này vẫn gây ra sự sốc rộng rãi trong ngành công nghiệp. Trong bối cảnh này, chúng ta không thể không nhớ đến vụ mất cắp của giao thức cho vay qua chuỗi Radiant Capital vào ngày 17 tháng 10 năm 2025. Mặc dù hai vụ việc này khác nhau về phương pháp tấn công và con đường triển khai, chúng đều tiết lộ các thách thức nghiêm trọng mà ngành công nghiệp tiền điện tử đang phải đối mặt về mặt bảo mật.

Đặc biệt là các chuyên gia trong ngành, người sáng lập nhóm SlowMist Yu Xi đã chỉ ra rằng vụ đánh cắp của Bybit có thể liên quan đến các nhóm hacker Bắc Triều Tiên (chỉ là sự suy đoán, hiện vẫn chưa có bằng chứng để cho thấy đó thực sự làm bởi các nhóm hacker Bắc Triều Tiên, không có lời khuyên tham chiếu), và cách mà những kẻ tấn công trong vụ việc Radiant chiếm quyền kiểm soát bằng cách kiểm soát các khóa riêng đa chữ ký và lợi dụng các lỗ hổng hợp đồng độc hại cũng tương tự như một số chiến thuật của hacker Bắc Triều Tiên. Dù là kiểm soát các ví lạnh hay can thiệp vào các hợp đồng thông minh, cả hai vụ việc đều cho thấy phương pháp tấn công của hacker trở nên phức tạp và tiềm ẩn hơn, đặt ra thách thức đối với an ninh của thị trường tiền điện tử. Lấy ví dụ về Radiant, bài viết này sẽ phân tích quá trình tấn công đa chữ ký.

Ảnh:https://x.com/evilcos/status/1892970435194863997

Mô tả ngắn về vụ tấn công của Radiant Capital

Vào ngày 17 tháng 10, giao thức cho vay đa chuỗi của Radiant Capital bị tấn công mạng, dẫn đến mất hơn 50 triệu đô la. Radiant là thị trường quỹ đa năng trên tất cả các chuỗi nơi người dùng có thể gửi bất kỳ tài sản nào trên bất kỳ chuỗi chính nào và vay tài sản. Dữ liệu trên chuỗi cho thấy kẻ tấn công nhanh chóng chuyển tài sản bị đánh cắp từ Arbitrum và BNB Chain, với khoảng 12.834 ETH và 32.112 BNB được gửi vào hai địa chỉ tương ứng.

Phân tích quy trình

Cốt lõi của cuộc tấn công này là kẻ tấn công đã kiểm soát các khóa riêng của nhiều người ký, do đó chiếm nhiều hợp đồng thông minh. Tiếp theo, chúng ta sẽ đi sâu vào quy trình cụ thể của cuộc tấn công này và các phương tiện kỹ thuật đằng sau nó.

1. Kẻ tấn công đã kích hoạt tính năng multicall thông qua một hợp đồng độc hại (tức là 0x57ba8957ed2ff2e7ae38f4935451e81ce1eefbf5). multicall cho phép nhiều hoạt động khác nhau được thực thi trong một lần gọi. Trong lời kêu này, kẻ tấn công đã nhắm mục tiêu vào hai thành phần trong hệ thống Radiant, bao gồm Nhà cung cấp Địa chỉ Hồ và Hồ cho Vay.

1. Trong giao dịch 1, kẻ tấn công kiểm soát một ví Gnosis multisig (GnosisSafeProxy_e471_1416). Qua các cuộc gọi độc hại, kẻ tấn công đã thành công thực thi một execTransaction, bao gồm việc sử dụng transferOwnership để sửa đổi địa chỉ hợp đồng của nhà cung cấp hồ bơi cho vay. Như vậy, kẻ tấn công có thể kiểm soát hợp đồng hồ bơi cho vay và tiến hành các hoạt động độc hại tiếp theo.
2. Kẻ tấn công đã lợi dụng cơ chế nâng cấp hợp đồng bằng cách gọi hàm setLendingPoolImpl để thay thế hợp đồng thực thi hồ bơi cho vay của Radiant bằng hợp đồng độc hại của riêng họ 0xf0c0a1a19886791c2dd6af71307496b1e16aa232. Hợp đồng độc hại này chứa một hàm cửa sau cho phép kẻ tấn công tiếp tục thao tác luồng quỹ trong hệ thống.

Một hàm cửa sau là một loại chức năng ẩn trong các hợp đồng độc hại, thường được thiết kế để trông bình thường nhưng thực sự cho phép kẻ tấn công vượt qua các biện pháp bảo mật bình thường và trực tiếp có được hoặc chuyển tài sản.

1. Sau khi hợp đồng trong hồ cho vay được thay thế, kẻ tấn công gọi hàm upgradeToAndCall để thực thi logic của lỗ hổng trong hợp đồng độc hại, chuyển tài sản từ thị trường cho vay sang hợp đồng được điều khiển bởi kẻ tấn công, từ đó thu lợi.

Kết luận: Từ Radiant đến Bybit, bảo mật vẫn là ưu tiên hàng đầu trong ngành công nghiệp tiền điện tử

Mặc dù các vụ ăn cắp của Bybit và Radiant xảy ra trong các dự án khác nhau, phương pháp tấn công của họ đã làm nổi bật những rủi ro bảo mật chung trong thị trường tiền điện tử. Cho dù thông qua việc kiểm soát các khóa riêng tư đa chữ ký hoặc can thiệp vào các hợp đồng thông minh, các hacker đã dễ dàng xâm nhập qua các phòng thủ bảo mật truyền thống bằng các phương tiện kỹ thuật tinh vi.

Với những phương tiện tấn công của hacker ngày càng tinh vi, việc làm thế nào để nâng cao bảo mật của sàn giao dịch tiền điện tử và giao thức đã trở thành một vấn đề mà toàn bộ ngành công nghiệp phải xem xét sâu sắc. Cho dù thông qua việc tăng cường bảo vệ kỹ thuật hoặc thêm các đánh giá bảo mật nghiêm ngặt hơn trong quá trình nâng cấp hợp đồng, các dự án mã hóa trong tương lai sẽ cần liên tục nâng cao khả năng bảo mật của chính mình để đảm bảo an toàn cho tài sản của người dùng.

Gate.io rất hiểu về sự quan trọng của việc bảo vệ an toàn tài sản người dùng và luôn ưu tiên điều này. Chúng tôi thường xuyên tiến hành kiểm tra an ninh thông qua quản lý chi tiết của ví lạnh và ví nóng, kết hợp với bản chụp số dư người dùng và cấu trúc cây Merkle, cũng như các công nghệ tiên tiến, để tối ưu hóa toàn diện quy trình lưu trữ và quản lý tài sản, đảm bảo an toàn và minh bạch của mỗi tài sản.

Vụ trộm này một lần nữa nhắc nhở toàn bộ ngành về những thách thức về bảo mật. Gate.io sẽ học hỏi từ đó, liên tục nâng cấp hệ thống bảo vệ an ninh, áp dụng nhiều phương tiện kỹ thuật tiên tiến hơn và biện pháp giám sát rủi ro, đảm bảo nền tảng luôn ổn định và đáng tin cậy. Chúng tôi hứa sẽ không tiếc bất kỳ công sức nào để bảo vệ tài sản người dùng và cung cấp môi trường giao dịch ổn định và đáng tin cậy.