Báo cáo về sự chậm trễ trong việc đóng băng USDT
Theo một báo cáo mới từ AMLBot, có “sự chậm trễ đáng kể” giữa việc các sàn giao dịch tuyên bố sẽ đóng băng USDT do các địa chỉ độc hại nắm giữ và việc thực hiện hành động này. Báo cáo của AMLBot cho thấy việc thực thi đóng băng trên chuỗi của stablecoin USDT của Tether diễn ra chậm chạp. Do đó, công ty chống rửa tiền này cho biết ít nhất 78 triệu USD đã bị mất cho các tác nhân xấu trên Ethereum và Tron kể từ năm 2017.
Lỗ hổng trong hệ thống đóng băng
Lỗ hổng “rửa tiền” là hệ quả của thiết lập hợp đồng đa ký của Tether. AMLBot giải thích trong báo cáo rằng trước hết, một yêu cầu đóng băng được gửi trên chuỗi, yêu cầu nhiều chữ ký để phê duyệt trước khi việc đóng băng có thể được thực hiện. Điều này đã tạo ra một cơ hội cho phép các tác nhân bất hợp pháp chuyển tiền trước khi địa chỉ của họ bị đóng băng. Một ví dụ được đưa ra trong báo cáo cho thấy có sự chậm trễ lên tới 44 phút giữa yêu cầu đóng băng và xác nhận trên mạng Tron. AMLBot khẳng định rằng có 49,6 triệu USD đã bị rút bởi các tác nhân xấu trên mạng Tron kể từ năm 2017 do lỗ hổng này.
Các ví đã có thể thực hiện lên tới ba giao dịch trong khoảng thời gian chậm trễ, trong khi 4,88% ví của danh sách đen đã khai thác sự chậm trễ này. Cùng thời gian đó, trên Ethereum, công ty này phát hiện 28,5 triệu USD USDT bị rút. Tổng cộng, thiệt hại trên cả hai chuỗi là 78,1 triệu USD.
Phân tích từ chỗ chuyên gia
Công ty bảo mật PeckShield đã xem xét báo cáo và xác nhận rằng lỗ hổng này tồn tại. “Điều này không nhất thiết chỉ ra một vấn đề với chính hợp đồng. Thay vào đó, đó là một vấn đề vận hành tạo ra khoảng thời gian giữa việc giao dịch trong danh sách đen được gửi và khi nó được thực hiện,” một phát ngôn viên của PeckShield cho biết với Decrypt. “Với tính nhạy cảm về bảo mật của vấn đề này, việc cải tiến là hoàn toàn cần thiết.”
Chính sách của Tether và nguy cơ từ tác nhân xấu
Tether là nhà phát hành của stablecoin lớn nhất trong lĩnh vực tiền điện tử, USDT, nhằm định giá theo đô la Mỹ. Công ty này đưa vào danh sách đen các địa chỉ không được phép giao dịch sản phẩm của họ nếu có liên quan đến hoạt động bất hợp pháp, chẳng hạn như các ví có liên quan đến vụ hack 1,4 tỷ USD của Bybit vào đầu năm nay. Bị đưa vào danh sách đen có nghĩa là địa chỉ không thể di chuyển tài sản do Tether phát hành, làm cho các token trở nên vô nghĩa.
Tuy nhiên, AMLBot tin rằng các tác nhân độc hại đã nhận thức được sự chậm trễ đã đề cập và đang phát triển các công cụ để khai thác điều này. “Các công cụ có thể được lập trình để theo dõi blockchain cho các tương tác hợp đồng cụ thể, chẳng hạn như các cuộc gọi submitTransaction liên quan đến yêu cầu đóng băng,” Slava Demchuk, Giám đốc điều hành của AMLBot, nói với Decrypt. “Các bot này có thể cảnh báo cho chủ sở hữu ví ngay khi một yêu cầu đóng băng được khởi động nhưng trước khi nó được thực hiện. Với sự chậm trễ do quá trình đa ký của Tether, điều này cung cấp một khoảng thời gian hẹp nhưng quan trọng cho các tác nhân bất hợp pháp để nhanh chóng di chuyển quỹ.”
“Mặc dù chúng tôi chưa quan sát trực tiếp các bot đó, hành vi trên chuỗi rất mạnh mẽ cho thấy loại tự động hóa này đang diễn ra,” ông nói thêm.
Khuyến nghị cải tiến từ PeckShield
PeckShield đã cảnh báo rằng sự chậm trễ hoàn toàn nằm trong cách mà các tài khoản đa ký được thiết kế để hoạt động. Việc có nhiều người ký một giao dịch cần thời gian, mặc dù điều này là cần thiết trong một số trường hợp để tăng cường bảo mật. Công ty này đề xuất rằng Tether có thể gộp yêu cầu đóng băng với các chữ ký vào một giao dịch duy nhất để xóa bỏ khoảng thời gian đó. Tether đã không phản hồi yêu cầu bình luận của Decrypt kịp thời trước khi bài viết được xuất bản, bài viết này sẽ được cập nhật ngay sau khi nhận được.
