Phân tích sự cố bị hack của Cork Protocol: Thiệt hại vượt quá 10 triệu đô la

Vào ngày 28 tháng 5, một cơ quan an ninh đã phát hiện hoạt động khả nghi tiềm ẩn liên quan đến Cork Protocol và phát đi thông báo an ninh, khuyến nghị người dùng nâng cao cảnh giác, chú ý đến sự an toàn của tài khoản và quỹ.

Sau đó, Cork Protocol đã phát hành thông báo cho biết: "Hôm nay vào lúc 11:23 UTC, thị trường wstETH:weETH đã xảy ra sự kiện an toàn. Để ngăn chặn rủi ro mở rộng, Cork đã tạm dừng tất cả các giao dịch trên thị trường khác, hiện không có thị trường nào bị ảnh hưởng. Đội ngũ đang tích cực điều tra nguyên nhân sự kiện và sẽ liên tục cập nhật tiến triển liên quan."

Sau khi sự kiện xảy ra, đội ngũ an ninh đã ngay lập tức can thiệp phân tích, dưới đây là phân tích chi tiết về phương pháp tấn công và lộ trình chuyển tiền.

Kiến thức cơ bản

Cork Protocol là một công cụ cung cấp chức năng tương tự như hợp đồng hoán đổi tín dụng (CDS) trong tài chính truyền thống cho hệ sinh thái DeFi - hoán đổi Depeg, được thiết kế đặc biệt để phòng ngừa rủi ro mất giá cho các tài sản gắn liền như stablecoin, token staking có tính thanh khoản, RWA, v.v. Cơ chế cốt lõi xoay quanh rủi ro mất giá của stablecoin và token staking có tính thanh khoản, cho phép người dùng chuyển giao rủi ro biến động giá của stablecoin hoặc LST/LRT cho các nhà tham gia thị trường thông qua giao dịch các sản phẩm phái sinh rủi ro, từ đó giảm thiểu rủi ro và nâng cao hiệu quả vốn. Các khái niệm chính như sau:

• RA (Tài sản Đổi | 赎回资产): Tài sản chuẩn được sử dụng để đổi hoặc thanh toán cho các sự kiện tháo rời trong thị trường Cork.
• PA (Tài sản gắn liền |挂钩资产): tài sản có nguy cơ mất giá, mục tiêu là giữ giá gắn liền với RA.
• DS (Depeg Swap | 脱锚掉期): Công cụ phái sinh cốt lõi được phát hành bởi giao thức Cork, dùng để phòng ngừa rủi ro tách rời.
• CT (Cover Token |覆盖代币): Công cụ phái sinh được ghép với DS, dùng để chịu rủi ro tách rời và kiếm lợi nhuận.
• Tỷ giá: Tham số cốt lõi đo lường mối quan hệ giá trị giữa PA và RA.
• Cork Vault：Quản lý tự động tính thanh khoản qua các thời hạn, nâng cao hiệu quả vốn.
• Peg Stability Module (PSM): Chịu trách nhiệm đúc/hủy DS và CT, thiết lập thời hạn thị trường, và điều chỉnh giá một cách động thông qua AMM.

Nguyên nhân gốc

Nguyên nhân cơ bản của cuộc tấn công này là do Cork cho phép người dùng tạo ra tài sản chuộc với bất kỳ tài sản nào thông qua hợp đồng CorkConfig (RA), cho phép kẻ tấn công sử dụng DS làm RA. Đồng thời, bất kỳ người dùng nào cũng có thể gọi hàm beforeSwap của hợp đồng CorkHook mà không cần ủy quyền, và cho phép người dùng truyền vào dữ liệu hook tùy chỉnh để thực hiện thao tác CorkCall, khiến cho kẻ tấn công có thể thao túng, gửi DS hợp pháp từ thị trường này sang thị trường khác để sử dụng làm RA và nhận được các token DS và CT tương ứng.

Phân tích tấn công

1. Kẻ tấn công đầu tiên đã mua token weETH8CT-2 từ wstETH trên thị trường hợp pháp, để cuối cùng có thể kết hợp với token DS để đổi lại wstETH của RA.

2. Kẻ tấn công đã tạo ra một thị trường mới và sử dụng nhà cung cấp Tỷ lệ Hoán đổi tùy chỉnh, thị trường này được tạo ra với token weETH8DS-2 làm RA và wstETH làm PA.

3. Sau khi tạo xong thị trường mới, kẻ tấn công thêm một lượng thanh khoản vào thị trường để giao thức có thể khởi tạo bể thanh khoản tương ứng trong Uniswap v4.

4. Kẻ tấn công thông qua chức năng unlockCallback của Uniswap V4 Pool Manager khi mở khóa, gọi hàm beforeSwap của CorkHook và truyền vào thị trường tự định nghĩa cũng như dữ liệu hook của mình.

5. beforeSwap sẽ gọi lại hàm CorkCall của thị trường hợp pháp, thực thi dữ liệu hook đã chỉ định. CorkCall tin tưởng dữ liệu do CorkHook hợp pháp ở cấp trên truyền vào và thực hiện phân tích và thực thi trực tiếp.

6. Kẻ tấn công thông qua việc xây dựng dữ liệu hook, sẽ chuyển một số lượng token weETH8DS-2 nhất định từ thị trường hợp pháp vào thị trường mới do họ tạo ra như là RA và nhận được token CT và DS tương ứng với thị trường mới.

7. Kẻ tấn công sử dụng CT và DS token đã có được để đổi RA token trên thị trường mới, tức là token weETH8DS-2.

8. Cuối cùng, kẻ tấn công sẽ ghép các token weETH8DS-2 mà họ nhận được với các token weETH8CT-2 đã mua trước đó, để đổi lấy các token wstETH trên thị trường hiện có.

Phân tích dòng tiền

Theo phân tích trên chuỗi, địa chỉ của kẻ tấn công đã thu lợi 3,761.878 wstETH, có giá trị hơn 1,200 triệu USD. Sau đó, kẻ tấn công đã thực hiện 8 giao dịch để đổi wstETH sang 4,527 ETH. Vốn ban đầu của kẻ tấn công đến từ 4.861 ETH được chuyển từ một nền tảng giao dịch.

Tính đến hiện tại, có 4,530.5955 ETH đang ở lại địa chỉ của kẻ tấn công, các cơ quan liên quan sẽ tiếp tục theo dõi số tiền.

Tóm tắt

Nguyên nhân cơ bản của cuộc tấn công này là do không xác minh chặt chẽ dữ liệu do người dùng truyền vào có phù hợp với mong đợi hay không, dẫn đến tính thanh khoản của giao thức có thể bị thao túng chuyển sang thị trường không mong đợi, từ đó bị kẻ tấn công bất hợp pháp thu hồi và thu lợi. Đề xuất các nhà phát triển khi thiết kế nên cẩn thận xác minh từng bước hoạt động của giao thức có nằm trong mong đợi hay không và nghiêm ngặt hạn chế loại tài sản trên thị trường.