Gần đây, một cuộc khai thác và tấn công flashloan đã diễn ra trên polyBUNNY, khiến phần lớn người dùng trở nên lo lắng về sự an toàn của nền tảng. Điều này dẫn việc 2,1 triệu polyBUNNY đã bị mint (đúc) và giá polyBUNNY giảm nhanh xuống chỉ còn hơn $2 USD vào lúc 7:17 PM ngày 16/7 (giờ UTC) – lúc 2:17 AM ngày 17/7 (giờ Việt Nam).
Trong thông báo gần đây nhất, polyBUNNY đã chia sẻ với người dùng về các vấn đề xoay quanh sự cố trên.
- Tất cả các vault hiện có trên polygon.pancakebunny đều an toàn.
- Lỗ hổng bảo mật của Sushi Vaults hiện đã được xử lý và đưa vào hoạt động trở lại.
- Các vault trên BSC PancakeBunny vẫn đảm bảo được tính an toàn.
- BSC BUNNY sẽ không bị bất kỳ ảnh hưởng nào từ Polygon.
- Một phần MND của team Bunny sẽ được trích để tặng cho những người đã tham gia tổ chức polyBUNNY vào thời điểm khai thác.
Team Bunny đang làm việc với các tác nhân chính trong hệ sinh thái Polygon và các blockchain để theo dõi số tiền đã bị khai thác và xác định hacker.
Phần còn lại của bài viết này sẽ là phân tích chi tiết về sự cố và hướng giải quyết mà team Bunny đã đề xuất.
Toàn cảnh sự cố
Hacker đã thực hiện việc deposit (gửi) một khoản tiền nhỏ vào một trong các Bunny Vault. Cùng lúc đó, họ cũng deposit (gửi) trực tiếp một khoản tiền lớn vào MiniChefV2 (SushiSwap). Sau đó, người này dùng lệnh “withdrawAll” để thực hiện cuộc tấn công với số tiền đã gửi vào MiniChefV2 để nhận lãi.
Phương pháp khai thác
Hacker đã thực hiện các bước sau để khai thác polyBUNNY minter:
- Đầu tiên, deposit (gửi) 0,000000009416941138 SLP (khoảng $19.203) vào polygon.pancakebunny USDT-USDC Vault.
- Deposit (gửi) trực tiếp 0,000023532935903931 SLP (khoảng $47.990.975) vào hợp đồng USDT-USDC MiniChefV2 trên SushiSwap.
- Thao tác trên đã tạo ra một khoản phí performance là 0,000007006743943544 SLP (khoảng $14.284.950)
- Từ đó, polyBUNNY phải mint cho kẻ tấn công một khoản tiền là 2.136.672,974656942582870591.
- Cuối cùng, kẻ tấn công repaid (hoàn trả) khoản flashloan của AAVE rồi thoát khỏi cuộc tấn công, thu về tổng số tiền là 1.281,702952074137533313 ETH.
Cuộc tấn công TX Log
Cuộc tấn công TX Log sẽ được nêu chi tiết trong báo cáo của Polygon tại đây
Địa chỉ của kẻ tấn công
Hồ sơ địa chỉ của kẻ tấn công hiện đang được theo dõi.
Giải pháp sau sự cố, mở lại Sushi Vaults
Hiện, team Bunny đã thêm chức năng “total balance state” (trạng thái tổng số dư) vào Sushi Vault để loại bỏ nguy cơ xảy ra lạm phát lợi nhuận. Xem chi tiết tại đây.
Kế hoạch bồi thường
Điều kiện nhận bồi thường
Tất cả những người sở hữu polyBUNNY tại thời điểm khai thác, bao gồm polyBUNNY-ETH và polyBUNNY-QUICK đều được tham gia vào chương trình bồi thường. Team Bunny sẽ thực hiện xác minh tất cả ví có chứa polyBUNNY (dạng token hoặc 1 phần trong cặp LP) thuộc block 16933434.
Cách thức bồi thường
Tất cả những người sở hữu polyBUNNY tại thời điểm khai thác sẽ nhận được token MND được chia sẻ từ phần MND của team Bunny.
MND là gì, và giá trị của MND là bao nhiêu?
Token MND là token tiện ích có khối lượng cố định được liên kết và hỗ trợ bởi tổng giá trị của Mound Vault.
Cộng đồng Bunny đã đóng góp gần 2 triệu BUNNY cho Mound (MND). Bên cạnh đó, team Bunny đóng góp thêm 1 triệu BUNNY, 1 triệu polyBUNNY, 100 triệu QBT, một phần của tất cả các token dự án trong tương lai và một phần các khoản phí trong tương lai thu từ các sản phẩm thu phí (ví dụ như Multiplexer).
1 tuần sau khi kết thúc giai đoạn cam kết với cộng đồng, giá cuối cùng của MND sẽ được quyết dựa trên định giá được xác định trên total value of the assets committed (tổng giá trị tài sản cam kết) với Mound Vault.
Tổng số tiền bồi thường
Team Bunny sẽ phân bổ lượng token MND trị giá $2,4 triệu cho hoạt động bồi thường này. Số tiền này được tính dựa trên số tiền đã bị khai thác trong cuộc tấn công đã kể trên. Và số lượng token MND cho mỗi polyBUNNY sẽ tùy thuộc vào giá của MND.
Giả sử giá cuối cùng (tức tổng giá trị tài sản cam kết với vault trước ngày 26/7) của MND Vault là $50 triệu và $1 triệu MND mint. Lúc bấy giờ, mỗi MND sẽ trị giá $50 và người sở hữu polyBUNNY sẽ nhận được tổng cộng 2,4 triệu/50 = 48.000 MND.
Song, mỗi người sở hữu polyBUNNY khi nhận bồi thường sẽ được hưởng một con số tỷ lệ với lượng polyBUNNY tại thời điểm trước khi tấn công diễn ra.
Kết luận
Team Bunny hiện đang tích cực bồi thường thiệt hại xảy ra một cách thích đáng nhất. Đồng thời, họ cũng cho biết sẽ tiếp tục cập nhật những giải pháp tối ưu nhất, nhằm đem polyBUNNY trở về lại đúng quỹ đạo theo lộ trình đã định.
Biên tập và tổng hợp – Bitcoincuatoi
—
Theo dõi Facebook và Telegram Bitcoincuatoi để cập nhật những thông tin về tiền mã hóa!
Nhóm thảo luận: Facebook Group | Telegram Group
*Thông tin trong bài viết chỉ mang mục đích chia sẻ và cung cấp kiến thức, không phải là lời khuyên đầu tư. “Do your own research!” Hãy tự nghiên cứu trước khi đưa ra quyết định đầu tư.
