Resolv yêu cầu hacker trả lại 90% của 25 triệu USD trong 72 giờ

• Resolv Labs đã đưa ra tối hậu thư 72 giờ cho kẻ tấn công sau vụ vi phạm an ninh trị giá 25 triệu USD.
• Kẻ tấn công được đề nghị nhận 10% tiền thưởng (2,5 triệu USD) nếu trả lại 90% số tiền đã đánh cắp trước thứ Năm.
• Vụ tấn công liên quan đến việc đúc trái phép 80 triệu token USR, sau đó được chuyển đổi thành 11.409 ETH.

Các điều khoản của đề nghị dàn xếp

Vào thứ Hai, nhà phát hành stablecoin có trụ sở tại Abu Dhabi Resolv Labs đã gửi một thông điệp on-chain đến cá nhân đứng sau vụ tấn công hôm Chủ nhật. Giao thức đã cung cấp một địa chỉ khôi phục cụ thể và đặt thời hạn đến thứ Năm để nhận lại 90% tài sản. Số tiền này bao gồm khoảng 22,5 triệu USD giá trị Ether (ETH) và bất kỳ token USR nào còn lại do kẻ tấn công kiểm soát.

Như một giải pháp thay thế, Resolv đã đề xuất một lộ trình tiết lộ "mũ trắng". Điều này yêu cầu kẻ tấn công chứng minh rằng họ đang thực hiện nghiên cứu bảo mật hợp pháp bằng cách liên hệ với nhóm qua email thay vì thực hiện các điều khoản dàn xếp tài chính.

Chi tiết sự cố và lỗ hổng kỹ thuật

Vụ vi phạm xảy ra vào sáng sớm Chủ nhật, ngày 22 tháng 3. Kẻ tấn công đã bắt đầu vụ khai thác bằng cách gửi 200.000 USDC vào hợp đồng Resolv USR Counter. Đổi lại, họ đã đúc hai đợt token USR—một đợt 50 triệu và một đợt khác là 30 triệu. Những token không có tài sản đảm bảo này sau đó đã được hoán đổi trên các sàn giao dịch phi tập trung để lấy các stablecoin khác trước khi được chuyển đổi thành tổng cộng 11.409 ETH.

Các nhà phân tích blockchain đã truy tìm lỗ hổng bắt nguồn từ một vai trò đúc tiền đặc quyền được quản lý bởi một tài khoản sở hữu bên ngoài duy nhất (EOA). Hệ thống thiếu một số tính năng bảo mật quan trọng, bao gồm:

• Thiếu hạn mức đúc tiền tối đa cho mỗi giao dịch hoặc tài khoản.
• Thiếu kiểm tra giá oracle để xác minh giá trị tài sản.
• Thiếu ủy quyền đa chữ ký cho các vai trò có đặc quyền cao.

Các biện pháp leo thang và phục hồi người dùng

Resolv đã cảnh báo rằng nếu tiền không được trả lại trong vòng 72 giờ, họ sẽ thực hiện các biện pháp quyết liệt. Những biện pháp này bao gồm phối hợp với các sàn giao dịch tập trung (CEX), các cầu nối xuyên chuỗi và các nhà cung cấp cơ sở hạ tầng để đóng băng tài sản bị đánh cắp. Giao thức cũng dự định lôi kéo các công ty phân tích blockchain và cơ quan thực thi pháp luật để theo đuổi hành động pháp lý và truy vết công khai tất cả lịch sử giao dịch.

Về tác động đối với cộng đồng người dùng, Resolv Digital Assets Ltd. cho biết họ đang liên hệ với tất cả người dùng trong danh sách cho phép (allowlist) đang nắm giữ USR tại thời điểm xảy ra sự cố. Việc quy đổi đã được kích hoạt cho nhóm chủ sở hữu USR trước sự cố, trong khi các cập nhật cho những người dùng khác sẽ được thông báo sau.