Lỗi khai thác cầu Verus-Ethereum sử dụng bằng chứng Merkle giả mạo, bị đánh cắp 11,5 triệu USD

| cryptopolitan.com
Vào ngày 18 tháng 5, vụ khai thác cầu Verus-Ethereum được báo cáo đã rút khoảng 11,5 triệu đô la sau khi kẻ tấn công sử dụng bằng chứng Merkle giả mạo. Theo PeckShieldAlert, kẻ tấn công đã lấy 103,6 tBTC, 1.625 ETH và khoảng 147.000 USDC từ hợp đồng cầu. Số tiền sau đó được hoán đổi thành khoảng 5.402,4 ETH và được cho là đã gom vào một ví duy nhất. Blockaid cho biết cầu Verus-Ethereum đã xác minh đúng các gốc trạng thái đã được công chứng (8/15 công chứng viên), nhưng vẫn không ràng buộc đúng giá trị trên chuỗi đích với bằng chứng từ chuỗi nguồn. Nhà nghiên cứu bảo mật “evilcos” cũng nói rằng một bằng chứng Merkle giả mạo có thể vượt qua xác thực của cầu. Verus đã phát hành một bản vá khẩn cấp “cấp bách và bắt buộc” (v1.2.14-2) hai ngày trước đó, nhưng không rõ liệu nó có ngăn chặn được điểm yếu cụ thể này hay không. Đối với các nhà giao dịch, vụ khai thác cầu Verus-Ethereum củng cố nhận thức rằng xác minh liên chuỗi vẫn là rủi ro an ninh trọng yếu. Bối cảnh rộng hơn đang xấu đi: thiệt hại liên quan đến các cầu đạt khoảng 328,6 triệu đô la (tám sự cố lớn cho đến giữa tháng Năm). Ngay cả khi điều này không ảnh hưởng trực tiếp đến các yếu tố cơ bản giao ngay, nó có thể thúc đẩy tâm lý tránh rủi ro ngắn hạn đối với tài sản DeFi và tính thanh khoản liên chuỗi.
Bearish
Vụ khai thác cầu Verus-Ethereum làm lộ ra một mô hình thất bại kiểm chứng cầu có thể lặp lại: ngay cả khi các gốc trạng thái đã được công chứng được xác thực, hệ thống vẫn có thể không liên kết đúng các chứng cứ từ chuỗi nguồn với giá trị trên chuỗi đích. Điều đó có xu hướng làm dấy lên lại lo ngại về an toàn quản lý ký gửi và thanh khoản xuyên chuỗi, có thể gây áp lực lên tâm lý DeFi xuyên chuỗi trong ngắn hạn. Mặc dù tài sản bị đánh cắp có thể được hoán đổi nhanh chóng và điều đó không nhất thiết thay đổi các nền tảng cơ bản dài hạn của giao thức đối với các token không liên quan, luồng tin tức này cộng thêm vào tổng thiệt hại do các cầu gây ra vốn đã cao (~328,6 triệu USD với tám sự cố lớn đến giữa tháng Năm). Về lịch sử, các sự cố cầu tương tự thường khiến các nhà giao dịch giảm tiếp xúc với các cầu liên kết, tài sản wrapped và các pool thanh khoản cho đến khi các cuộc kiểm toán và biện pháp giảm thiểu được xác nhận.