Abracadabra bị tấn công flash loan, thiệt hại 13 triệu USD

Công ty bảo mật Peckshield cho biết, một vụ tấn công nhắm mục tiêu đã rút hàng triệu đô la giá trị token khỏi các “cauldron” (vạc) của giao thức tài chính phi tập trung (DeFi) Abracadabra/Spell. Kẻ tấn công đã khai thác một lỗ hổng trong hợp đồng thông minh của giao thức, rút khoảng 6.262 ETH, trị giá khoảng 13 triệu USD, từ các bể thanh khoản.

Các “cauldron” của Abracadabra/Spell là những hợp đồng thông minh sử dụng bể thanh khoản của sàn giao dịch phi tập trung GMX cho việc vay và cho vay trên chuỗi (onchain). Vụ tấn công dường như liên quan đến việc thao túng quy trình thanh lý tài sản trong cơ chế tích hợp giữa các “cauldron” này với bể GM thuộc GMX V2.

Nhà nghiên cứu tiền mã hóa Weilin (William) Li nhận định ban đầu trên X: “Khi thực hiện thanh lý, kẻ tấn công thực chất đã TỰ THANH LÝ chính mình trong trạng thái VAY NHANH (FLASHLOAN) – nơi người vay (bị thanh lý) thực tế không có tài sản thế chấp”. Vay nhanh (flash loan) là một chiến lược giao dịch đặc trưng của DeFi, cho phép người dùng vay một khoản tiền lớn không cần thế chấp và trả lại ngay trong cùng một khối giao dịch.

Ông Li nói thêm rằng kẻ tấn công đã sử dụng quy trình bảy bước để vay và thanh lý một khoản vay bằng stablecoin thuật toán Magic Internet Money (MIM) của Abracadabra. “Lợi nhuận của kẻ tấn công đến từ các ưu đãi thanh lý (vì cuối hàm cook, tài khoản của kẻ tấn công cần phải có khả năng thanh toán)”, ông giải thích.

GMX V2 sử dụng quy trình giao dịch hai bước, trong đó lệnh được tạo và sau đó được thực hiện bởi các “keeper” (người canh giữ) nhằm ngăn chặn hành vi chạy trước lệnh (front-running). Khoảng thời gian chờ giữa lúc tạo lệnh và thực hiện lệnh có thể đã tạo cơ hội cho kẻ tấn công can thiệp. Tuy nhiên, một nhà phát triển GMX lưu ý rằng các hợp đồng cốt lõi của GMX không bị ảnh hưởng.

Số tiền bị đánh cắp sau đó đã được chuyển từ mạng Arbitrum sang Ethereum thông qua cầu nối chuỗi (bridge).

Trước đó, vào tháng 01/2024, stablecoin MIM của Abracadabra cũng từng bị thao túng, dẫn đến thiệt hại gần 6,5 triệu USD.