Giải thích chi tiết về sự cố bị đánh cắp Pump

Gần đây, nền tảng Pump đã gặp một sự cố nghiêm trọng về việc đánh cắp tài sản. Bài viết này sẽ phân tích chi tiết về diễn biến của sự kiện và thảo luận về những bài học rút ra từ đó.

Phân tích quá trình tấn công

Thủ phạm của sự kiện lần này không phải là những hacker tinh vi, mà rất có thể là một cựu nhân viên của Pump. Người này nắm giữ ví quyền để tạo ra cặp giao dịch trên một nền tảng giao dịch phi tập trung nào đó, chúng ta gọi là "tài khoản bị đánh cắp". Trong khi đó, các bể thanh khoản của token chưa đạt tiêu chuẩn niêm yết trên Pump được gọi là "tài khoản dự bị".

Kẻ tấn công trước tiên đã lấy một khoản vay chớp nhoáng từ nền tảng cho vay để lấp đầy tất cả các bể token chưa đạt tiêu chuẩn niêm yết. Thông thường, khi bể đạt tiêu chuẩn, SOL trong tài khoản chuẩn bị sẽ được chuyển vào tài khoản bị đánh cắp. Tuy nhiên, kẻ tấn công đã rút ra SOL đã chuyển vào trong quá trình này, dẫn đến những token lẽ ra sẽ được niêm yết và khóa thanh khoản không thể được niêm yết đúng hạn.

Phân tích nạn nhân

Theo phân tích, cuộc tấn công này không ảnh hưởng đến quỹ của nền tảng cho vay, vì khoản vay chớp nhoáng đã được hoàn trả trong cùng một khối. Các mã thông báo đã được niêm yết trên sàn giao dịch phi tập trung do tính thanh khoản đã bị khóa, cũng sẽ không bị ảnh hưởng.

Những người thực sự chịu thiệt hại là những người đã mua token trong các pool chưa đầy đủ trên nền tảng Pump trước khi cuộc tấn công xảy ra. SOL của họ đã bị chuyển đi trong cuộc tấn công nói trên, điều này cũng giải thích lý do tại sao ước tính thiệt hại ban đầu lại cao như vậy. Tuy nhiên, tin tức mới nhất cho thấy thiệt hại thực tế khoảng 2 triệu đô la.

Nguyên nhân có thể khiến kẻ tấn công lấy được khóa riêng

Không còn nghi ngờ gì nữa, điều này phản ánh sự sơ suất nghiêm trọng của nhóm dự án trong việc quản lý quyền hạn. Chúng ta có thể suy đoán rằng việc lấp đầy bể token có thể chính là một trong những trách nhiệm công việc trước đó của kẻ tấn công. Giống như một số nền tảng mạng xã hội trong giai đoạn đầu sử dụng bot chính thức để kích thích hoạt động giao dịch, Pump cũng có thể đã giao cho kẻ tấn công trách nhiệm sử dụng quỹ dự án để lấp đầy bể thanh khoản của các token mới phát hành (rất có thể bao gồm một số token thử nghiệm), nhằm thu hút sự chú ý và thực hiện khởi động lạnh. Thật không may, điều này cuối cùng đã trở thành lỗ hổng cho mối đe dọa nội bộ.

Kinh nghiệm và bài học

1. Đối với những kẻ bắt chước, chỉ sao chép các chức năng bề ngoài là chưa đủ. Cần nhận thức rằng việc chỉ phát triển sản phẩm không tự động thu hút người dùng. Trong các dự án hợp tác, việc cung cấp động lực ban đầu là vô cùng quan trọng.

2. Phía dự án phải hết sức coi trọng quản lý quyền hạn và các biện pháp an ninh. Sự kiện lần này lại làm nổi bật mức độ nghiêm trọng của mối đe dọa nội bộ, nhấn mạnh sự cần thiết phải xây dựng và hoàn thiện cơ chế phân bổ quyền hạn và giám sát.

3. Người dùng nên cẩn trọng khi tham gia vào các nền tảng mới nổi, đặc biệt là đối với các dự án chưa được xác minh đầy đủ. Đầu tư phân tán, nghiên cứu kỹ lưỡng bối cảnh dự án và chú ý đến phản hồi của cộng đồng là những cách hiệu quả để giảm thiểu rủi ro.

4. Cần phải hoàn thiện hơn nữa các cơ chế quản lý và tự quản trong ngành. Sự xuất hiện của các sự kiện tương tự đã làm nổi bật sự cần thiết phải tăng cường tự quản của ngành và thiết lập cơ chế kiểm toán chặt chẽ hơn.

Sự kiện này đã gióng lên hồi chuông cảnh báo cho toàn bộ hệ sinh thái tiền điện tử, nhắc nhở chúng ta rằng trong khi theo đuổi đổi mới, không thể bỏ qua các nguyên tắc an toàn cơ bản và quản lý rủi ro. Chỉ khi tìm được sự cân bằng giữa an toàn và đổi mới, ngành công nghiệp mới có thể phát triển một cách lành mạnh.