Giao thức DeFi Inverse Finance bị hack gần 15 triệu USD 

Ngày 2 tháng 4, giao thức cho vay phi tập trung (DeFi) Inverse Finance đã trở thành nạn nhân của một vụ tấn công gây thiệt hại gần 15 triệu USD.

Sự việc này đã được cảnh báo trước bởi một công ty phân tích blockchain, PeckShield.

Từ dữ liệu trên blockchain có thể thấy thời điểm diễn ra việc khai thác lỗ hổng là ngay sau 11:00 GMT. Một số lượng lớn ETH, WBTC và DAI đã bị đánh cắp. Giá trị thiệt hại ước tính 14.6 triệu USD. Theo dữ liệu của một blockchain khác, hacker đã rút sạch ETH chỉ trong vòng một giờ thông qua công cụ trộn giao dịch Tornado Cash.

Trong một bài đăng trên trang Twitter cùng ngày, nhóm nghiên cứu Inverse Finance chưa cập nhật tình hình cụ thể. Họ mới chỉ ra một thông báo ngắn gọn: 

Chúng tôi hiện đang giải quyết tình hình, vui lòng chờ thông báo chính thức.

Trên máy chủ Discord cho InverseDAO, cấu trúc quản lý của giao thức, nhóm nghiên cứu cũng đăng tải một bài đăng tương tự.

Nguyên nhân của vụ khai thác lần này là do một vài lỗi liên quan đến chỉ số giá của INV, token của Inverse Finance. Các hacker đã tiến hành thao túng giá của IVN và hoán đổi trên SushiSwap 500 ETH. Điều này tạo điều kiện thuận lợi cho vụ xâm nhập lỗ hổng.

Thông báo của Inverse về vụ việc này:

Hôm nay, thị trường của Inverse Finance là Anchor đã bị thao túng vì chỉ số giá pool INV/ETH trên SushiSwap. Điều này khiến giá INV tăng mạnh và cho phép hacker có thể vay thêm 15,6 triệu USD dưới dạng DOLA, ETH, WBTC và YFI.

Nhóm nghiên cứu cũng giải thích thêm, sự việc lần này không do lỗi của flash loan hay các lỗi trong smart contract và front end. Inverse Finance đã tạm dừng hoạt động cho vay trên Anchor. Inverse cũng cho biết đang tạm hoãn hoạt động cho vay trên Anchor.

Tài khoản Igor Igamberdiev đã đưa ra phân tích cụ thể về biến động chỉ số giá vì lỗi trong oracle như sau:

Hợp đồng Oracle mà Inverse Finance sử dụng là của Keeper Network, đơn vị này lấy nguồn từ chỉ số giá trung bình các pool của SushiSwap, từ đó trả về giá cho token INV quá cao. Kẻ tấn công thế chấp INV và tận dụng giá trị tài sản được định giá cao để vay một số tiền lên đến 15,6 triệu USD.

Ngoài ra, sau thông tin trên, giá INV cũng bị sụt giảm gần 16.5% trong 24 giờ qua.

Một vụ khai thác tương tự cũng diễn ra trên không gian tài chính phi tập trung (DeFi). Hợp đồng thông minh của giao thức Li Finance (LiFi) bị tấn công, ví của 29 người dùng bị đánh cắp khoảng 600,000 USD.