Theo một báo cáo gần đây, các cuộc tấn công flash loan đang gia tăng. Vậy flash loan là gì và những rủi ro vào từ các cuộc tấn công này?
Để hiểu rõ hơn về flash loan, bạn đọc có thể tham khảo bài viết này của BeInCrypto. Tuy nhiên, hiểu một cách đơn giản thì bạn có thể vay một khoản với quy mô gần như không giới hạn mà không cần thế chấp bất kỳ tài sản nào, chỉ có một yêu cầu là bạn phải trả lại trong cùng một giao dịch. Nghe có vẻ khó tin nhưng hình thức vay vốn kiểu này đã xuất hiện trong DeFi. Tương tự tên gọi, các khoản vay này diễn ra gần như ngay lập tức.
Một báo cáo gần đây của De.Fi cho thấy rằng các khoản vay nhanh đang gia tăng và những kẻ xấu lợi dụng chúng để chiếm lợi bất chính ngày càng nhiều. Trong Q1 năm nay, 200 triệu USD đã bị mất do kiểu tấn công này. Nhưng tại sao ai đó lại muốn vay theo hình thức flash loan? Câu trả lời là vì nó cung cấp khoản vốn ngay lập tức, nó mang lại lợi nhuận tốt trong một môi trường có tính thanh khoản cao.
Giải thích về flash loan và các cuộc tấn công liên quan
Cách thức hoạt động của flash loan dựa trên kinh doanh chênh lệch giá. Không giống như các loại khoản vay khác, flash loan không yêu cầu quá trình phê duyệt lâu dài, vì vậy chúng có thể được thực hiện nhanh chóng. Artem Bondarenko, kỹ sư phần mềm tại De.Fi, giải thích trong một cuộc phỏng vấn với BeInCrypto rằng: “Với mức phí thấp liên quan đến khoản vay trong cùng một giao dịch, có khả năng thu được lợi nhuận cao rất lớn. Đối với các chủ nợ của một dịch vụ flash loan, không có rủi ro nào vì khoản vay được trả lại ngay lập tức. Nếu không, giao dịch sẽ thất bại.”
Trong tài chính truyền thống, hầu như không tồn tại hình thức như flash loan. Dịch vụ này tương tự như quyền chọn mua nhưng có một số điểm khác biệt đáng kể. Thông qua flash loan, bạn có thể sử dụng số tiền đã vay ngay lập tức, trong khi với quyền chọn mua, bạn cần thời gian chờ đợi. Ngoài ra, trong tài chính truyền thống, các giao dịch thường xảy ra từng lần một, trong khi với flash loan, chúng xảy ra theo các block (khối). Tuy nhiên, những công cụ ngắn hạn này không phải không có nhược điểm.
Bondarenko cho biết: “Một cuộc tấn công vào khoản vay nhanh diễn ra khi ai đó có thể vay một số tiền lớn ở một bên và sử dụng số tiền đó để thao túng giá bằng cách mua hoặc bán với số lượng lớn, từ đó ảnh hưởng đến giá của một tài sản. Sau đó, họ tận dụng sự chênh lệch giá đó để mua hoặc bán ngược lại ở một bên khác, tạo ra chênh lệch giá giữa hai nơi, kế tiếp là hoàn trả khoản vay ban đầu và bỏ túi khoản chênh lệch.”
Bondarenko nói thêm rằng: “Nếu giao thức thanh khoản được thiết kế đúng với pricing oracle (nguồn cung cấp giá) về giá phù hợp, thì đây không phải là vấn đề. Nhưng trong trường hợp thiết kế không phù hợp, đó là một lỗ hổng có thể dẫn đến bị lợi dụng và tao ra một sự kiện thanh lý hàng loạt,”
Ai là nạn nhân của các cuộc tấn công flash loan?
Flash loan rất hấp dẫn đối với những kẻ tấn công vì chúng cho phép vay một lượng lớn tiền điện tử mà không cần cung cấp tài sản thế chấp. Để ngăn chặn các cuộc tấn công như vậy, nhà phát triển có thể triển khai các biện pháp bảo mật tốt hơn như code audit và thiết kế hợp đồng thông minh mạnh mẽ, đồng thời nâng cao nhận thức về các vector tấn công tiềm ẩn trong hệ sinh thái DeFi.
Vào ngày 13/3, Euler Finance, một giao thức cho vay dựa nổi tiếng trên Ethereum, đã bị tấn công và kẻ tấn công đã đánh cắp các loại tiền điện tử khác nhau như Dai, USDC, stETH và WBTC bằng cách thực hiện nhiều giao dịch. Tổng số tiền bị đánh cắp là gần 196 triệu USD, với 8.7 triệu USD bằng DAI; 18.5 triệu USD bằng WBTC; 135.8 triệu USD bằng stETH và 33.8 triệu USD bằng USDC.
Kẻ tấn công đã chuyển số tiền bị đánh cắp từ Binance Smart Chain sang Ethereum bằng cách sử dụng multichain bridge, sau đó tiến hành cuộc tấn công flash loan. Hacker đã gửi số tiền bị đánh cắp vào Tornado Cash để gây khó khăn cho các nỗ lực khôi phục cũng như che giấu danh tính của họ.
Tháng trước, vào ngày 16/2, Platypus Finance, một nhà tạo lập thị trường tự động, đã phải hứng chịu một cuộc tấn công cho khoản vay nhanh. Kẻ tấn công đã đánh cắp số stablecoin trị giá 8,500,887 USD bao gồm USDC, USDT, BUSD và DAI. Trong trường hợp này, kẻ tấn công đã lợi dụng lỗ hổng trong cơ chế kiểm tra khả năng thanh toán của USP. Trong quá trình này, kẻ tấn công đã đảm bảo một khoản flash loan trị giá 44,000,000 USDC, sau đó đổi nó lấy 44,000,000 Platypus LP-USD. Tiếp đến, hacker đã mint (đúc) 41,700,000 mã thông báo USP mà không tốn chi phí. Số tiền này đã được swap thành nhiều loại stablecoin khác nhau.
Platypus Finance đã hợp tác với các dịch vụ của bên thứ ba để đóng băng tài sản bị đánh cắp và một số đã bị đóng băng. Hợp đồng chứa mã độc đã bị xóa và các biện pháp bảo mật bổ sung được triển khai để ngăn chặn các cuộc tấn công trong tương lai. Tuy nhiên, kẻ tấn công đã kịp xoay sở để chuyển một phần số tiền bị đánh cắp.
Làm thế nào để giảm thiểu rủi ro?
Theo một cách nào đó, flash loan là một trong những công cụ cân bằng tuyệt vời của tiền điện tử. Chúng cho phép các nhà giao dịch có ít vốn hơn tham gia vào các giao dịch có thưởng cao mà thường chỉ dành cho những nhóm đầu tư được gọi là Cá voi. Adrian Hetman, Tech Lead of the triaging team tại Immunefi, nói với BeInCrypto rằng: “Nhưng như chúng ta đã thấy nhiều lần, flash loan cũng gây rủi ro lớn cho các giao thức DeFi vốn thiếu sự tính toán đến những thứ như vậy.”
Hetman bổ sung thêm: “Các giao thức không chỉ nên tự bảo vệ mình trước các cuộc tấn công có thể xảy ra nhắm vào flash loan mà còn đề phòng khỏi các cuộc tấn công của Cá voi. Tức là, điều gì sẽ xảy ra nếu những người chơi lớn đột nhiên sử dụng số tiền khổng lồ của họ để sử dụng giao thức? Hệ thống sẽ hoạt động như dự định? Luồng kinh doanh ‘dự định’ của chúng ta là gì? Mô hình hóa mối đe dọa sẽ giúp tiết lộ những điểm yếu tiềm ẩn của hệ thống.”
“Bằng cách sử dụng Time-Weighted Average Price (TWAP), các oracle có thể giúp giảm thiểu việc thao túng giá bằng cách tính giá trung bình trong một khoảng thời gian cụ thể, khiến kẻ tấn công khó thao túng giá hơn trong một giao dịch. Ngoài ra, việc triển khai các hệ thống multi-oracle có thể cung cấp dự phòng và kiểm tra chéo dữ liệu giá, tăng cường hơn nữa khả năng phòng thủ chống lại sự thao túng”
Về việc gợi ý giải pháp, Hetman giải thích rằng: “Bằng cách triển khai các công cụ, những kẻ tấn công flash loan có thể bị ngăn chặn việc thu lợi từ giá tài sản bị thao túng khi phát hiện thấy sự dao động giá đáng kể. Một khi nguyên nhân của sự dao động giá được xác định và giải quyết, giao dịch có thể tiếp tục. Điều này cần bao gồm các giao dịch hợp lệ tiềm năng mà chỉ có vẻ đáng ngờ từ bên ngoài.”
Bạn nghĩ sao về thông tin trên? Chia sẻ với chúng tôi quan điểm của bạn trong nhóm Telegram của BeInCrypto nhé.
Trusted
Tất cả thông tin có trên trang web của chúng tôi được xuất bản với thiện chí và chỉ dành cho mục đích thông tin chung. Bất kỳ hành động nào người đọc thực hiện đối với thông tin được tìm thấy trên trang web của chúng tôi, họ cần phải đánh giá lại và hoàn toàn chịu rủi ro từ quyết định của chính họ.
