Công cụ khai thác Lừa giao thức Stablecoin PegNet, biến 11 đô la thành gần 7 triệu đô la tích trữ

Cập nhật thông tin mới nhất về Công cụ khai thác Lừa giao thức Stablecoin PegNet, biến 11 đô la thành gần 7 triệu đô la tích trữ

www.coindesk.com

Ngày 22 tháng 4 năm 2020 15:50, giờ UTC

Thời gian đọc: ~ 4 m


Những người khai thác Rogue đã gửi dữ liệu giá giả mạo để lừa mạng lưới stablecoin phi tập trung PegNet biến số dư ví nhỏ thành khoản tiền 6,7 triệu đô la.

Vào khoảng 05:00 UTC sáng thứ Ba, bốn tổ chức khai thác – cùng chiếm tới 70% tỷ lệ băm của PegNet – đã gửi dữ liệu làm tăng giả tạo giá của một “pJPY”, một loại tiền ổn định được gắn với giá của đồng Yên Nhật, theo cho một nhà phát triển cốt lõi bằng tên người dùng “WhoSoup”.

Bắt đầu ban đầu với số dư ví trị giá 11 đô la, nhóm đã đẩy giá pJPY lên đến 6,7 triệu đô la và sau đó chuyển nó sang pUSD – đồng ổn định được liên kết với USD của PegNet. Sau đó, họ đã cố gắng (không thành công) để thanh lý càng nhiều càng tốt trên các sàn giao dịch tại chỗ và phân phối phần còn lại trong hàng trăm địa chỉ ví khác nhau.

PegNet là một mạng phi tập trung, được xây dựng dựa trên giao thức Factom, nơi người dùng có thể giao dịch stablecoin được gắn với 32 tài sản. Bên cạnh tiền tệ fiat, cũng có các tài sản kỹ thuật số được gắn với hàng hóa, chẳng hạn như vàng và các loại tiền điện tử khác như bitcoin và ether.

Xem thêm: Tin tặc khai thác lỗ hổng trong sàn giao dịch bitcoin phi tập trung Bisq để đánh cắp 250 nghìn đô la

Mạng này dựa vào các thợ đào để gửi dữ liệu giá, được thu thập từ một loạt các thánh và API, để giữ cho giá stablecoin được cố định ở mức tương đương fiat của chúng. Mỗi khối yêu cầu 50 điểm dữ liệu và giao thức loại bỏ 25 lần gửi xa nhất so với tổng số điểm trung bình. Hầu hết sử dụng 3-4 nguồn mặc định, nhưng các thợ đào cũng có thể gửi các giá trị tùy ý của riêng họ.

“WhoSoup” nói với CoinDesk rằng đây thường không phải là vấn đề vì hệ thống hoạt động để khuyến khích các thợ đào – với phần thưởng khối – gửi dữ liệu giá phù hợp với dữ liệu của những người gửi khác.

Trên Discord, nhà phát triển giải thích rằng các thợ đào về cơ bản đã thực hiện một hình thức tấn công 51% bằng cách gửi 35 trong số 50 lần đệ trình giá hàng đầu, làm lệch mức trung bình có lợi cho họ và có nghĩa là 15 lần đệ trình giá còn lại đã bị loại bỏ dưới dạng ngoại lệ.

Với tỷ giá hối đoái giả, các thợ đào đã chuyển đổi pJPY tăng cao thành pUSD để số dư ví tổng thể tăng từ mã thông báo pJPY trị giá 11 đô la lên hơn 6,7 triệu pUSD, giả sử dữ liệu giá chính xác, sẽ trị giá 6,7 triệu đô la.

Cuộc tấn công hôm thứ Ba kéo dài khoảng 20 phút và dường như không ảnh hưởng đến tiền của những người dùng khác.

David Johnston, người đồng thời là chủ tịch Factom Inc. cũng là một trong những nhân vật chính đằng sau PegNet, nói với CoinDesk rằng nhóm không kiểm soát các giao dịch và chuyển đổi của người dùng khác mà chỉ có thể xác nhận dữ liệu giá. Ông nói: “Kẻ tấn công này dường như chỉ ảnh hưởng đến ví của chính họ.

Johnston nói thêm rằng kẻ tấn công đã không thể chuyển nhiều pUSD sang tiền điện tử PEG gốc của PegNET, vì phần mềm của giao thức không cho phép chuyển đổi nhanh chóng. Ông nói: “Người này có thể tạo ra một loạt các pAsset, nhưng không thể chuyển chúng thành PEG và bán ra thị trường.

Cách PegNet được cấu hình có nghĩa là không thể biết danh tính của các cá nhân kiểm soát các thực thể khai thác. Mặc dù có bốn thực thể khai thác hoạt động đồng thời, nhưng không rõ liệu tất cả đều do cùng một người kiểm soát hay đây là công việc của một nhóm.

Xem thêm: Tại sao cuộc khủng hoảng toàn cầu này lại là thời điểm xác định cho Stablecoin

Nhưng vẫn còn một số câu hỏi chưa được giải đáp. Kẻ tấn công kể từ đó đã liên hệ với PegNet và tuyên bố rằng họ chỉ đang cố gắng “dồn nén [penetration test] mạng và logic mã, “để xác định các lỗ hổng tiềm ẩn và thông báo cho các nhà phát triển cốt lõi.

Họ cũng đã phá hủy tất cả các stablecoin được đề cập, gửi tất cả đến địa chỉ ghi PegNet vào khoảng 14:00 UTC Thứ Ba.

Cả Who và Johnston đều từ chối bị thu hút bởi động cơ đằng sau vụ tấn công. “Tôi không thể nói về ý định của người này chỉ với hành động của họ,” Johnston nói. “Hành động của họ là tạo ra các pAsset và sau đó phá hủy các pAsset đó. [It] Có vẻ giống như một trò đóng thế hơn là một cuộc tấn công trong thời gian ngắn mà nó kéo dài và các hành động của họ kể từ đó. “

Quyết định đốt tài sản của kẻ tấn công dường như phản ánh hành động của kẻ tấn công đã tiêu hao dForce 25 triệu đô la vào cuối tuần, người đã giao lại tài sản bị đánh cắp sau khi biết chính quyền Singapore có địa chỉ IP của họ.

Johnston cho biết PegNet hiện sẽ xem xét một số cơ chế tiên tri của nó, để đảm bảo chúng đủ mạnh để chống lại các loại tấn công này trong tương lai.

Xem thêm: Factom Inc. ‘Thanh lý khuôn mặt’ sau khi các nhà đầu tư từ chối yêu cầu thêm vốn

“Tôi hoàn toàn mong đợi các cuộc tấn công tinh vi hơn theo thời gian. Khi các giá trị trong mạng DeFi tăng lên thì càng có nhiều lý do để tấn công chúng”, ông nói. “Chìa khóa là xây dựng các hệ thống như PegNet, nơi người dùng cá nhân không bị ảnh hưởng bởi hành động của những người khác trong hệ thống. Vì vậy, bởi vì PegNet không có dự trữ hoặc tài sản thế chấp được giữ trong một nhóm, không có tiền của người dùng chung nào để tiêu.”

PegNet vẫn chưa chắc chắn liệu các thợ đào có thể tải bất kỳ pUSD nào trên các sàn giao dịch tiền điện tử hay không.


Viết một bình luận