Những lỗ hổng nghiêm trọng trong xác thực đầu vào khiến SwapNet và Aperture Finance thiệt hại $17M

Hai giao thức DeFi đã gặp phải thiệt hại tài chính nghiêm trọng vào ngày 26 tháng 1 khi các lỗ hổng bảo mật trong hợp đồng thông minh của họ bị kẻ tấn công khai thác. Sự cố này dẫn đến tổng thiệt hại vượt quá 17 triệu đô la, làm dấy lên những lo ngại mới về cơ chế xác thực trong tài chính phi tập trung. Theo phân tích của BlockSec, điểm yếu cơ bản bắt nguồn từ quy trình xác minh đầu vào không đầy đủ trong các giao thức bị tấn công.

Hiểu về Lỗ hổng Kỹ thuật

Vấn đề cốt lõi liên quan đến việc xác thực đầu vào không đủ trong các hợp đồng thông minh bị ảnh hưởng. Sai sót trong thiết kế này tạo ra một lỗ hổng cho các cuộc gọi hàm tùy ý — một kỹ thuật cho phép kẻ tấn công thực hiện các hoạt động không mong muốn trên giao thức. Thay vì thực hiện một cuộc tấn công phức tạp từ đầu, các thủ phạm đã lợi dụng các quyền ủy quyền token đã được người dùng cấp trước đó cho các hợp đồng này. Điều này thể hiện một sự bỏ sót nghiêm trọng trong kiến trúc bảo mật của cả hai nền tảng.

Cách Kẻ tấn công khai thác quyền ủy quyền Token

Con đường khai thác khá trực tiếp nhưng gây hậu quả nặng nề. Kẻ tấn công đã sử dụng chức năng transferFrom, một thao tác tiêu chuẩn của ERC-20, để rút tiền trái phép từ ví của người dùng. Các lỗi trong logic xác thực có nghĩa là không có cơ chế nào để ngăn chặn các cuộc gọi hàm bất ngờ này. Vì người dùng đã cấp quyền cho các hợp đồng này để chuyển token trong các hoạt động bình thường, kẻ tấn công chỉ cần chuyển hướng các quyền đó để thực hiện rút tiền hàng loạt.

Điều này có ý nghĩa gì cho Tương lai của DeFi

Sự cố này nhấn mạnh một mô hình lặp đi lặp lại: các lỗi bảo mật trong xác thực đầu vào vẫn nằm trong số những lỗ hổng nguy hiểm nhất trong phát triển hợp đồng thông minh. Thiệt hại 17 triệu đô la là một lời nhắc nhở rõ ràng rằng ngay cả các giao thức đã được thiết lập cũng có thể chứa đựng những điểm yếu nghiêm trọng. Đối với hệ sinh thái DeFi rộng lớn hơn, trường hợp của SwapNet và Aperture Finance cho thấy lý do tại sao kiểm toán mã nghiêm ngặt, các thủ tục xác minh chính thức và khung xác thực đa lớp không còn là tùy chọn nữa mà là những điều kiện tiên quyết cần thiết cho bất kỳ giao thức nào xử lý tài sản người dùng đáng kể.