Hacker vừa ‘ghé thăm’ AkuDreams và BAYC, lấy đi hàng chục triệu đô la

Dự án NFT siêu cường điệu AkuDreams đã có một khởi đầu khó khăn sau vụ khai thác khiến số tiền thu được trị giá 34 triệu đô la bị khóa trong hợp đồng thông minh mãi mãi.

Hacker đứng sau vụ khai thác được cho là đang cố gắng chỉ ra các lỗ hổng trong code, khiến team nhà phát triển không thể truy cập hơn 11.500 ETH.

Dự án bắt đầu hoạt động vào ngày 22/4 thông qua một cuộc đấu giá kiểu Hà Lan và được mở ở mức 3,5 ETH, rao bán 5.495 NFT trong tổng số 15.000 NFT trong bộ sưu tập. Hợp đồng thông minh cho cuộc đấu giá đã được lập trình hoàn lại tiền cho mọi người trả giá thấp hơn.

34 triệu đô la bị khóa vĩnh viễn

Theo nhà phát triển NFT 0xInuarashi, hợp đồng thông minh được lập trình hoàn lại tiền cho những người đấu giá trước khi team có thể rút tiền. Tuy nhiên, lỗi trong code đã tạo ra các lỗ hổng.

Cuộc đấu giá yêu cầu số lượng hồ sơ dự thầu tối thiểu phải bằng tổng số NFT có sẵn để đấu giá (là 5.495). Mặc dù số lượng hồ sơ dự thầu thực tế nhiều hơn số này, nhưng một số người mua đang sử dụng cùng một hồ sơ thầu cho nhiều NFT.

Kết quả là có ít hồ sơ thầu hơn tổng số NFT có sẵn để đấu giá. Vì vậy, hơn 34 triệu đô la tiền thu được trong hợp đồng thông minh sẽ bị khóa vĩnh viễn và không thể rút được.

Nhiều nhà phát triển từng cảnh báo AkuDreams về lỗ hổng bảo mật trước khi dự án đi vào hoạt động, nhưng team đã bỏ qua.

Trong một tweet hiện đã bị xóa, team gắn nhãn lỗi này là một tính năng khi các nhà phát triển liên hệ để cảnh báo.

Hacker đã quyết định cho họ thấy rằng vụ khai thác không phải là tính năng bằng cách thực thi một “hợp đồng tai họa”.

The AkuDreams team pretended that this was a feature, not an exploit, when multiple developers raised concerns prior to mint. Bizarre justifications. pic.twitter.com/cVgEXnnWzF

— foobar (@0xfoobar) April 23, 2022

“Team AkuDreams giả vờ rằng đây là một tính năng, không phải là khai thác, khi nhiều nhà phát triển chỉ ra lo ngại trước khi bắt đầu. Những lời biện minh kỳ quái”.

Hợp đồng này ban đầu đã khóa tính năng hoàn lại tiền cho những người trả giá thấp hơn và hacker ẩn danh đã nhúng một thông báo on-chain để cho họ biết dự án bị khai thác.

Nguồn: 0xInuarashi

Team AkuDreams đã nhận trách nhiệm và đảo ngược lần khai thác đầu tiên để cho phép hoàn lại tiền. Tuy nhiên, không thể lấy lại 34 triệu đô la bị mắc kẹt trong hợp đồng thông minh từ lần khai thác thứ hai.

“Cập nhật nhanh (sẽ có chi tiết sớm nhất có thể): Vụ khai thác trong hợp đồng không phải thực hiện do ác ý. Người này có ý định thu hút sự chú ý đến các phương pháp hay nhất cho các dự án trong tầm mắt và cơ chế mới. Họ đã bỏ chặn vụ khai thác một cách nhanh chóng sau khi chúng tôi đi sâu vào vụ việc và chiếm quyền sở hữu”, dự án đã tweet vào ngày 23/4.

Tối qua, trang Twitter của Bored Ape Yacht Club (BAYC) đã thông báo về sự cố với tài khoản Instagram của dự án.

“Sẽ không có sự kiện đúc NFT nào trong hôm nay. Có vẻ như tài khoản Instagram của BAYC đã bị hack. Các bạn vui lòng không đúc bất cứ NFT nào, không bấm vào đường dẫn lạ hay kết nối ví với các đường link”.

Theo đó, hacker đã chèn đường dẫn lạ, đánh lừa người dùng rằng họ có thể đúc Land cho Otherside Meta, dự án mà BAYC dự kiến giới thiệu vào cuối tuần này.

Nguồn: Cryptobeaver

Nhà sáng lập của BAYC Garga.eth cũng khẳng định dự án đã thiết lập bảo mật 2FA cho tài khoản và sẽ nhanh chóng công bố báo cáo chi tiết về vụ việc.

Theo “thám tử crypto” zachxbt, hacker đã lấy cắp tổng cộng 91 NFT, gồm 4 Bored Ape Yacht Club, 7 Mutant Ape Yacht Club, 3 Bored Ape Kennel Club, 1 CloneX và nhiều NFT khác. Giá trị của những NFT này có thể lên đến vài triệu đô la.

Đây là sự cố bảo mật thứ 2 của team Bored Ape Yacht Club trong tháng 4. Trước đó, dự án cũng bị hack Discord và lừa đảo NFT của người dùng.

Tham gia Telegram của HoiQuanNet để theo dõi tin tức và bình luận về bài viết này: https://hoiquannet.com

Đình Đình

Theo AZCoin News

Theo dõi trang Twitter | Theo dõi kênh Telegram | Theo dõi trang Facebook