ETHPoW – blockchain Proof-of-Work đầu tiên của Ethereum bị tấn công phát lại (Replat attack).

Hôm 18/9, BlockSec – Đơn vị chuyên cung cấp các giải pháp bảo mật cho blockchain – cho biết blockchain Proof-of-Work của Ethereum bị tấn công Replay attack. Kẻ tấn công đã chuyển 200 WETH từ cầu nối Omni của Gnosis Chain và lặp lại điều tương tự trên ETHPoW để nhận thêm 200 ETHW. Với tình trạng này, số dư trong ví của hợp đồng thông minh được triển khai trên ETHPoW sẽ sớm cạn kiệt.

BlockSec nói thêm rằng nguyên nhân của vụ việc này bắt nguồn từ việc cầu nối không sử dụng đúng chainID của chuỗi ETHW.

Đơn vị chuyên cung cấp các giải pháp bảo mật cho blockchain, BlockSec, tweet thông báo vụ tấn công phát lại.

Đội ngũ EthereumPoW cũng xác nhận cuộc tấn công xảy ra do lỗi của cầu nối chứ không phải từ blockchain. Trước khi hard fork, mạng thực thi EIP-155 – đây là bản đề xuất do Vitalik Buterin phát triển năm 2016 về cơ chế bảo vệ người dùng trước các cuộc tấn công phát lại.

Tuy nhiên, Martin Köppelmann – Nhà sáng lập của Gnosis – đính chính: “Cầu nối trên Gnosis và Ethereum không có vấn đề. Chúng tôi không thông báo về việc hỗ trợ cho chuỗi EthereumPoW. Vì vậy chúng tôi không chịu trách nhiệm cho vụ tấn công lần này.”

Theo Martin, việc phát lại các giao dịch trên chuỗi PoW có thể dẫn tới tình trạng người dùng tạo ra các giao dịch giả mạo từ cầu nối để bòn rút tiền. Khi quá nhiều giao dịch diễn ra và đạt tới ngưỡng giới hạn cho phép, các giao dịch vẫn tiếp tục thực hiện vào ngày hôm sau. Ông cho rằng cần tạm dừng hoạt động đối với cầu nối trên blockchain EthereumPoW để ngăn chặn những hành vi “hôi của”.

Sau thông tin vụ tấn công được lan truyền, giá ETHW giảm 39,7%, về quanh mức 4,99 USD.

Replay attack là gì?

Replay attack, hay tấn công phát lại là hình thức tấn công an ninh mạng lưới bằng cách sử dụng các ứng dụng độc hại để chặn hoặc trì hoãn các dữ liệu truyền tải. Cuộc tấn công chỉ xảy ra khi hai blockchain có cùng chainID, giao dịch được thực hiện cùng một địa chỉ ví với số nonce của các giao dịch bằng nhau.

Trong vụ tấn công ETHW, các giao dịch được thực hiện trên chain PoS được sao chép và phát lại trên blockchain PoW, hoặc ngược lại.

Trước khi The Merge hoàn tất, các nhà phát triển của Ethereum và EthereumPoW đều xác nhận hai blockchain có chainID khác nhau. Tuy nhiên, hôm 16/9, nhiều người dùng thông báo không thể kết nối vào mạng lưới của ETHPoW do trùng chainID với SmartBCH testnet. Dù chainID đã được thay đổi sau đó, nhiều dự án hoạt động trên mạng lưới vẫn có thể gặp rủi ro.

Leave a Reply