การโจมตีการปกครองด้วยการกู้ยืมเงินด่วน สะท้อนอะไรต่ออุตสาหกรรมจากการขโมย X100?

ต้นฉบับ  Odaily Planet Daily ( @OdailyChina )

ผู้เขียน  Asher ( @Asher_0210 )

เมื่อวันที่ 24 ตุลาคม โครงการ DeFi บน Ethereum ชื่อ X100 ประสบกับการโจมตีการปกครอง โดยมี USDT ประมาณ 4.85 ล้านเหรียญถูกขโมย ตามข้อมูลจาก GMGN มูลค่าตลาดของโทเค็น X ลดลงจากประมาณ 760 ล้านเหรียญสหรัฐก่อนการโจมตีเหลือประมาณ 24 ล้านเหรียญสหรัฐ ลดลงมากกว่า 96% ในวันเดียว.

คลังที่เดิมถูกบริหารโดยที่นั่ง "วุฒิสภา" สามที่นั่ง ถูกแฮ็กเกอร์ใช้เงินกู้ด่วนยึดที่นั่งไปสองที่นั่ง หลังจากถือเสียงข้างมาก แฮ็กเกอร์ได้เสนอข้อเสนอที่เป็นอันตราย และใช้ที่นั่งที่ตนควบคุมในการลงคะแนนเสียงผ่าน ทำให้คลังอนุมัติการทำธุรกรรมเพื่อส่งสินทรัพย์ไปยังตนเอง หลังจากการโจมตีรอบแรกประสบความสำเร็จ ผู้โจมตีคนอื่น ๆ ก็ใช้กลไกการปกครองเดียวกันในการย้ายสินทรัพย์ของโครงการต่อไป

ด้านล่างนี้ Odaily Planet Daily จะสรุปกระบวนการโจมตีการปกครองนี้ และความเสี่ยงด้านความปลอดภัยในการปกครอง DAO ที่เปิดเผยจากเหตุการณ์ X100

แฮ็กเกอร์ยืมเงิน 1.94 ล้านเหรียญได้อย่างไรถึงยึดที่นั่ง "วุฒิสภา" สองที่นั่ง?

คลังของ X100 ถูกบริหารโดย "วุฒิสภา" สามที่นั่ง สมาชิกจะลงคะแนนเพื่อกำหนดการขายโทเค็นของคลัง การลงทุนสภาพคล่อง และการดำเนินการอื่น ๆ เพียงแค่ควบคุมที่นั่งสองที่นั่ง ก็สามารถเสนอข้อเสนอเพื่อเคลื่อนย้ายสินทรัพย์ของคลังได้ ผู้ถือโทเค็นโครงการ X จะต้องฝากโทเค็นในสัญญา Freezer เลือกที่จะล็อกเป็นเวลา 1 ปี 3 ปี หรือ 5 ปี และจ่ายค่าธรรมเนียม 100 โทเค็น X เพื่อเข้าร่วมการเลือกตั้ง สามที่นั่งจะถูกจัดอันดับตามยอดเงินที่ล็อกอยู่ในที่อยู่ที่สมัครในเวลาจริง ผู้ที่อยู่ในสามอันดับแรกจะได้รับสิทธิในการปกครอง

กลไกนี้ไม่มีการจำกัดให้ผู้ควบคุมคนเดียวกันสามารถได้รับที่นั่งผ่านที่อยู่หลายที่ และไม่มีการตั้งค่าระยะเวลารอให้สิทธิในการปกครองมีผล แฮ็กเกอร์เพียงแค่ต้องทำให้ยอดเงินที่ล็อกในสองที่อยู่ที่ควบคุมอยู่ในสามอันดับแรก ก็จะสามารถควบคุมเสียงข้างมากได้ทันที ข้อเสนอที่ผ่านไปแล้วสามารถดำเนินการได้ทันที ทำให้การยึดที่นั่งและการโอนสินทรัพย์สามารถทำได้ในธุรกรรมเดียวกัน

ก่อนการโจมตี ที่อยู่ที่สองได้ล็อกโทเค็น X ประมาณ 19,000 โทเค็น เมื่อวันที่ 24 ตุลาคม เวลา 22:11 น. แฮ็กเกอร์ได้กู้ยืม USDT ประมาณ 1.94 ล้านเหรียญผ่าน Aave Flash Loan ซื้อโทเค็น X และแจกจ่ายให้กับสัญญาช่วยสองตัว ซึ่งทำการล็อกและลงสมัคร สัญญาแต่ละตัวล็อก 19,000.000001 โทเค็น X ซึ่งมากกว่าที่สองเดิมเพียงหนึ่งในล้านโทเค็น ทำให้สามารถครองที่นั่งที่สองและที่สามได้พร้อมกัน และทำให้ที่นั่งที่สองเดิมถูกผลักออกจากรายชื่อการปกครอง

หลังจากได้เสียงข้างมาก แฮ็กเกอร์จะทำอย่างไรให้สินทรัพย์ของคลังไหลเข้าสู่มือของตน?

สองคะแนนเสียงทำให้คลังขายโทเค็น X 400,000 โทเค็นในราคา 35.68 เหรียญ

หลังจากได้ที่นั่งสองที่ แฮ็กเกอร์ได้เสนอข้อเสนอที่เป็นอันตรายทันที โดยเรียกร้องให้คลังขายโทเค็น X 400,000 โทเค็นในสระ PancakeSwap V3 X/USDT ที่ตนสร้างขึ้นเอง และตั้งค่าจำนวนเงินขั้นต่ำที่รับได้เป็นศูนย์ จากนั้นใช้สัญญาช่วยอีกตัวที่ตนควบคุมในการลงคะแนนสนับสนุน ทำให้ข้อเสนอได้รับคะแนนเสียงสองคะแนนผ่านและดำเนินการทันที ตามการวิเคราะห์ของ GoPlus X100 อนุญาตให้ข้อเสนอการปกครองกำหนดสระการทำธุรกรรม แต่ขาดการป้องกันจำนวนเงินขั้นต่ำที่มีประสิทธิภาพ แฮ็กเกอร์สามารถกำหนดได้ว่าคลังจะขายเหรียญที่ไหน และสามารถตั้งเงื่อนไขการทำธุรกรรมได้เอง จากนั้นใช้เสียงข้างมากที่ตนควบคุมในการอนุมัติการทำธุรกรรม

สระดังกล่าวถูกสร้างขึ้นโดยแฮ็กเกอร์ในธุรกรรมเดียวกัน โดยมีการฉีดสภาพคล่องประมาณ 100 เหรียญ เมื่อคลังขายโทเค็น X 400,000 โทเค็นในนั้น สระสามารถจ่าย USDT ได้เพียงเล็กน้อย และจำนวนเงินขั้นต่ำที่รับได้เป็นศูนย์ ทำให้การทำธุรกรรมไม่ล้มเหลวเนื่องจากผลตอบแทนต่ำเกินไป สุดท้าย คลังส่งมอบโทเค็น X 400,000 โทเค็น และได้รับกลับมาเพียงประมาณ 35.68 เหรียญ แฮ็กเกอร์ต่อมาถอนสภาพคล่องจากสระที่ตนสร้างขึ้น และนำโทเค็น X กลับคืน จากนั้นขายโทเค็นบางส่วนในสระการทำธุรกรรม Uniswap V3 X/USDT ที่มีอยู่เพื่อแลกเป็น USDT หลังจากชำระคืนเงินกู้ด่วนและค่าใช้จ่ายอื่น ๆ แฮ็กเกอร์คนแรกทำกำไรประมาณ 4.75 ล้านเหรียญ USDT

จากการกู้ยืมเพื่อซื้อเหรียญ ยึดที่นั่ง อนุมัติการขายเหรียญในราคาต่ำ และถอนเงินคืนทั้งหมดเสร็จสิ้นในธุรกรรมเดียวกัน โทเค็นที่คลังส่งมอบกลายเป็นเครื่องมือในการถอนเงินของแฮ็กเกอร์ ขณะที่ USDT ในสระการทำธุรกรรมจริงถูกใช้ในการชำระคืนเงินกู้และแปลงเป็นผลกำไรจากการโจมตี

การโจมตีต่อเนื่องเกิดขึ้น เงินที่ถูกขโมยไหลไปไหน?

ประมาณ 24 นาทีหลังจากการโจมตีรอบแรก แฮ็กเกอร์คนที่สองได้ใช้เงินกู้ด่วนอีกครั้งเพื่อยึดที่นั่งการปกครองสองที่นั่ง ถอนสภาพคล่องบางส่วนจาก Uniswap V3 ที่ Freezer ถืออยู่ และใช้สระการทำธุรกรรมที่ตนสร้างขึ้นเพื่อย้ายสินทรัพย์ต่อไป โดยได้ประมาณ 96,400 เหรียญ USDT ประมาณห้านาทีหลังจากนั้น กระเป๋าเงินที่สามใช้สัญญาช่วยที่แฮ็กเกอร์คนที่สองทิ้งไว้และไม่มีการจำกัดผู้เรียก ใช้ที่นั่งการปกครองของตนในการเสนอข้อเสนอเพื่อย้ายโทเค็น X ประมาณ 550,000 โทเค็น การโจมตีสองรอบแรกทำให้เกิดความเสียหายประมาณ 4.85 ล้านเหรียญ USDT และการโจมตีรอบที่สามมีโทเค็น X ประมาณ 550,000 โทเค็นถูกย้ายไป สามรอบการโจมตีเกิดขึ้นภายในเวลาไม่ถึงครึ่งชั่วโมง

ตามการติดตามของ Bitquery แฮ็กเกอร์คนแรกได้แลกเปลี่ยนรายได้หลัก USDT เป็น ETH ภายในไม่กี่นาทีหลังจากการโจมตี จากนั้นกระจายไปยังห้ากระเป๋าเงิน รวมเป็นประมาณ 2,022.86 ETH แฮ็กเกอร์คนที่สองได้แลกเปลี่ยน USDT เป็น ETH ผ่านที่อยู่กลางและส่งไปยัง ChangeNOW ใช้เวลาทั้งหมดประมาณ 21 นาทีในการโอน

เมื่อสิทธิในการปกครองสูญเสียไป การโอนสินทรัพย์จะเกิดขึ้นอย่างรวดเร็วจากการโจมตีครั้งเดียวของแฮ็กเกอร์คนแรก กลายเป็นการมีส่วนร่วมของกระเป๋าเงินหลายใบ การเข้าร่วมในภายหลังแม้ไม่จำเป็นต้องซื้อเหรียญใหม่เพื่อการเลือกตั้ง ก็สามารถใช้สิทธิที่มีอยู่ในการย้ายสินทรัพย์ต่อไป

ค่าใช้จ่ายในการโจมตีการปกครองในโลกบล็อกเชนที่ต่ำลงเรื่อย ๆ

X100 ไม่ใช่กรณีเดียว การโจมตีการปกครองไม่จำเป็นต้องมีการลงทุนเงินจำนวนมากจากแฮ็กเกอร์ล่วงหน้า ผู้โจมตีสามารถซื้อโทเค็นเพื่อให้ได้สิทธิในการลงคะแนนเสียง หรือใช้เกณฑ์ข้อเสนอที่ต่ำกว่าในการค้นหาโอกาส ขณะที่เงินกู้ด่วนทำให้เงินที่ยืมมาเข้าร่วมในการปกครองได้

ตั้งแต่ต้นปีที่ผ่านมา การโจมตีการปกครองที่คล้ายกันได้ทำให้เกิดความเสียหายจำนวนมากหลายครั้ง ในเดือนกรกฎาคม ผู้โจมตี Bonk DAO ใช้เงินประมาณ 4.09 ล้านเหรียญในการซื้อโทเค็นที่มีสัดส่วน 1.003% ของปริมาณทั้งหมด ซึ่งเพียงพอที่จะผ่านเกณฑ์การอนุมัติการปกครอง จากนั้นผ่านข้อเสนอที่เป็นอันตรายเพื่อย้ายสินทรัพย์ประมาณ 20.5 ล้านเหรียญ หลังจากการลงคะแนนสิ้นสุดลงยังสามารถนำโทเค็นที่ถูกล็อกกลับคืนได้ ในเดือนสิงหาคม Term Finance ประสบความเสียหายประมาณ 8.5 ล้านเหรียญจากการโจมตีการปกครอง แม้ว่าจะต้องลงทุนหลายล้านเหรียญเพื่อซื้อสิทธิในการลงคะแนนเสียง แต่เงินจำนวนนี้อาจไม่ใช่ต้นทุนสุดท้ายที่ผู้โจมตีต้องแบกรับ

บางกรณีการโจมตีที่ไม่สำเร็จมีเกณฑ์เพียงไม่กี่ร้อยเหรียญ ในเดือนมีนาคม ผู้โจมตี Moonwell ใช้เงินเพียงประมาณ 1,808 เหรียญในการซื้อ MFAM และมอบหมายตนเอง ส่งข้อเสนอที่เป็นอันตรายเพื่อพยายามเข้าถึงการจัดการตลาดการกู้ยืมและสัญญาหลักเจ็ดแห่งที่เกี่ยวข้องกับเงินทุนผู้ใช้ประมาณ 1.08 ล้านเหรียญ ในเดือนกันยายน ผู้โจมตี Olas ใช้เงินเพียงประมาณ 135 เหรียญในการล็อก 5,100 โทเค็น OLAS ซึ่งเกินเกณฑ์ข้อเสนอ แม้ว่าการโจมตีทั้งสองครั้งจะถูกหยุดยั้ง แต่ก็แสดงให้เห็นว่า ผู้โจมตีไม่จำเป็นต้องควบคุมเสียงข้างมาก เพียงแค่ได้รับสิทธิในการเสนอข้อเสนอ ก็สามารถสร้างโอกาสในการโจมตีได้

เมื่อวันที่ 22 ตุลาคม Arkadiko ก็ประสบกับการโจมตีการปกครองเช่นกัน ผู้โจมตีซื้อโทเค็น DIKO ในจำนวนที่เพียงพอ และลงคะแนนเสียงผ่านข้อเสนอในการนำสัญญาที่เป็นอันตรายเข้ามา โดยไม่มีคะแนนเสียงคัดค้าน และคาดว่าความเสียหายอยู่ที่ประมาณ 1.09 ล้านเหรียญ

สิทธิในการปกครองสามารถยืมได้ และการลงคะแนนเสียงผ่านก็สามารถย้ายสินทรัพย์ได้ เมื่อการควบคุมคลังง่ายดายเช่นนี้ การปกครองแบบกระจายอำนาจจะสามารถปกป้องใครได้บ้าง?