Cộng đồng Lido DAO vừa phải triển khai một cuộc bỏ phiếu khẩn cấp sau khi phát hiện sự cố bảo mật liên quan đến một oracle do validator Chorus One vận hành. Sự việc khiến hacker đánh cắp 1,46 ETH và làm dấy lên lo ngại về tính toàn vẹn của hệ thống oracle quản lý staking Ethereum.
Sự cố bắt nguồn từ rò rỉ private key
Vào tối ngày 11/05, Lido DAO thông báo rằng một trong chín khóa oracle thuộc quản lý của Chorus One đã bị xâm nhập trái phép. Kẻ tấn công đã nhanh chóng rút toàn bộ số dư 1,46 ETH từ ví nóng liên kết với oracle bị ảnh hưởng.
Chorus One sau đó xác nhận sự cố bắt nguồn từ rò rỉ khóa riêng của một ví nóng được khởi tạo từ năm 2021, thời điểm mà các tiêu chuẩn bảo mật chưa được áp dụng nghiêm ngặt như hiện nay. Tuy nhiên, đơn vị này khẳng định đây là sự cố cá biệt, không liên quan đến lỗ hổng phần mềm và không có dấu hiệu cho thấy các oracle khác hoặc hạ tầng hệ thống bị ảnh hưởng.
Kích hoạt cơ chế phản ứng khẩn cấp
Dù số tiền thiệt hại không lớn, Lido DAO đã ngay lập tức kích hoạt quy trình phản ứng khẩn cấp. Một cuộc bỏ phiếu cộng đồng đã được triển khai để thay thế khóa oracle bị ảnh hưởng trên ba hợp đồng quan trọng:
- Accounting Oracle
- Validators Exit Bus Oracle
- Consensus Layer Fee Oracle
Một khóa mới đã được tạo với tiêu chuẩn bảo mật cao hơn và được lưu trữ an toàn. Cuộc bỏ phiếu kéo dài 72 giờ, sau đó sẽ có thêm 48 giờ để cộng đồng phản đối, nếu có ý kiến trái chiều.
Tác động hạn chế, hệ thống vẫn an toàn
Lido sử dụng mô hình oracle 5/9, yêu cầu ít nhất 5 trong 9 chữ ký để thực hiện các hành động quan trọng như rebase stETH hoặc xác nhận rút ETH. Nhờ đó, sự cố không ảnh hưởng đến hoạt động cốt lõi của hệ thống.
Izzy, trưởng nhóm validators của Lido, cho biết:
Chorus One đã ngay lập tức triển khai máy chủ mới với lớp bảo mật nâng cấp, đồng thời rà soát toàn bộ hệ thống để đảm bảo không còn rủi ro tiềm ẩn.
TVL của Lido vẫn vững vàng sau sự cố
Bất chấp sự cố, Tổng giá trị khóa (TVL) của Lido theo Deffilama vẫn duy trì ở mức cao với 22,35 tỷ USD, tiếp tục giữ vị trí là giao thức DeFi lớn thứ hai, chỉ sau Aave. Trong 24 giờ qua, TVL của Lido chỉ giảm nhẹ 5.6%, trong khi tăng mạnh 54,71% trong 30 ngày, cho thấy niềm tin của nhà đầu tư vào hệ sinh thái staking Ethereum vẫn rất lớn.
