Hệ thống ủy quyền cũ (legacy approval) của Magic Eden đã khiến 5,7 triệu USD (tương đương) giá trị NFT rơi vào tình trạng có thể bị khai thác, trước khi các hacker mũ trắng kịp can thiệp. Họ đã giải cứu 23.155 token trước khi kẻ xấu kịp ra tay rút tài sản. Bất kỳ ai đang giữ NFT trên Magic Eden, hay trên bất kỳ sàn nào còn tồn tại các ủy quyền cũ, đều nên quan tâm đến việc sự cố này đã suýt xảy ra như thế nào.
Chuyện gì đã xảy ra
Theo The Block, các quyền ủy quyền (approval) cũ trên Magic Eden đã khiến 5,7 triệu USD (tương đương) giá trị NFT đối mặt nguy cơ bị khai thác. Các nhà nghiên cứu bảo mật mũ trắng đã phát hiện rủi ro này và chuyển 23.155 token đến nơi an toàn trước khi bất kỳ kẻ tấn công nào có thể lợi dụng các quyền ủy quyền đó. Báo cáo không nêu rõ những bộ sưu tập nào bị ảnh hưởng, ngày phát hiện lỗ hổng, hay liệu Magic Eden đã đưa ra tuyên bố công khai hay chưa. Theo thông tin hiện có, không có tổn thất tài sản nào của người dùng được ghi nhận. Cuộc giải cứu dường như đã diễn ra trước khi kẻ tấn công kịp hành động, theo cùng báo cáo trên. Các chi tiết kỹ thuật sâu hơn, bao gồm cách các quyền ủy quyền cũ này được thiết lập, vẫn chưa được công bố công khai tại thời điểm này.
Nguồn gốc vấn đề
Các lỗ hổng liên quan đến quyền ủy quyền (approval) là rủi ro lặp đi lặp lại trên các sàn giao dịch NFT. Khi người dùng cấp quyền cho một hợp đồng thông minh của sàn giao dịch để di chuyển token, quyền này có thể vẫn còn hiệu lực rất lâu sau khi tin đăng bán đã kết thúc. Những kẻ tấn công phát hiện ra các quyền ủy quyền bị lãng quên, hay còn gọi là ủy quyền cũ (legacy), đôi khi có thể chuyển NFT đi mà không cần thêm sự đồng ý nào từ chủ sở hữu. Mô hình rủi ro này từng ảnh hưởng đến nhiều nền tảng khác trong quá khứ, khi các sàn giao dịch nâng cấp hợp đồng thông minh theo thời gian. Trường hợp của Magic Eden, theo The Block đưa tin, thuộc nhóm rủi ro phổ biến này chứ không phải là một dạng lỗ hổng mới. Quy mô vụ việc, 5,7 triệu USD (tương đương) giá trị bị phơi bày, cho thấy lượng tài sản có thể tích tụ lớn đến mức nào trong các quyền ủy quyền cũ chưa được thu hồi.
Vì sao điều này quan trọng với bạn
Đối với người dùng Magic Eden, đây là lời nhắc nhở cần thường xuyên kiểm tra và thu hồi các quyền ủy quyền cũ trên sàn, đặc biệt với những ví đang nắm giữ NFT giá trị cao. Đối với các nhà phát triển, sự việc này cho thấy chi phí dai dẳng của việc duy trì các quyền ủy quyền cũ trong hợp đồng thông minh khi nền tảng liên tục thay đổi. Đối với toàn bộ thị trường NFT, sự can thiệp của hacker mũ trắng lần này đã thành công, nhưng điều đó phụ thuộc vào việc có ai đó phát hiện ra lỗ hổng trước. Các sàn giao dịch có thể sẽ chịu áp lực phải chủ động kiểm toán hệ thống ủy quyền cũ thay vì chỉ phản ứng sau khi sự cố xảy ra. Người nắm giữ NFT không nên cho rằng các quyền ủy quyền trong quá khứ là vô hại chỉ vì giao dịch đã hoàn tất.
Câu hỏi lớn hơn
Còn bao nhiêu quyền ủy quyền bị lãng quên khác, trên bao nhiêu sàn giao dịch, hiện vẫn chưa được rà soát? Bất kỳ nền tảng NFT nào từng nâng cấp hợp đồng thông minh qua nhiều năm đều có khả năng còn tồn đọng một số quyền ủy quyền cũ mà người dùng đã quên thu hồi. Sự cố này đặt ra một câu hỏi lớn hơn cho toàn ngành: liệu việc tự động hết hạn quyền ủy quyền có nên trở thành một tính năng tiêu chuẩn, được tích hợp sẵn trong thiết kế sàn giao dịch, thay vì là điều mà từng người dùng phải tự nhớ và quản lý vô thời hạn?
Những điều cần theo dõi
Tính đến thời điểm công bố, chưa có lịch trình chính thức hay tuyên bố tiếp theo nào từ Magic Eden. Hãy theo dõi các thông tin công khai chi tiết hơn về những bộ sưu tập nào bị ảnh hưởng hoặc cách các quyền ủy quyền cũ này được đưa vào hệ thống. Sự chú ý của ngành đối với các công cụ quản lý ủy quyền có thể sẽ tăng lên, khi các sàn giao dịch xem xét lại cách họ xử lý các quyền hợp đồng thông minh cũ sau sự cố như thế này.
