Tổng quan vụ Hack sàn WazirX
Vào ngày 18 tháng 7, sàn giao dịch tiền điện tử nổi tiếng của Ấn Độ, WazirX, đã bị tấn công và mất 235 triệu USD. Để đối phó với vụ việc này, WazirX đã đưa ra một chương trình thưởng lớn nhằm thu hồi tài sản bị đánh cắp.
Vào ngày 21 tháng 7, WazirX đã thông báo về chương trình thưởng trị giá 23 triệu USD cho hacker nếu trả lại tài sản bị đánh cắp. Cụ thể:
- Tiền thưởng: Hacker sẽ nhận được 10% số tiền bị mất, tương đương 23 triệu USD, nếu trả lại tài sản bị đánh cắp.
- Phần thưởng cho thông tin: Sàn giao dịch cung cấp tới 10,000 USD bằng USDT cho những cá nhân có thể cung cấp thông tin hữu ích dẫn đến việc đóng băng tài sản bị đánh cắp.
Lời khuyên từ ZachXBT
Ban đầu, WazirX chỉ đề nghị một phần thưởng 5%, tương đương 11.5 triệu USD. Tuy nhiên, ZachXBT, một chuyên gia trong ngành, đã khuyên công ty nên tăng mức đề nghị lên do có khả năng thu hút sự chú ý của Lazarus Group từ Bắc Triều Tiên. ZachXBT lập luận rằng:
“Một khoản thưởng 10 triệu USD không có ý nghĩa gì nếu đó thực sự là Lazarus Group vì họ sẽ không chỉ trả lại tài sản hay bị tìm thấy và xử lý theo pháp luật. 5% thấp hơn mức tiêu chuẩn 10%+ của ngành.”
Phản hồi của WazirX
Đồng sáng lập WazirX, Nischal Shetty, nhấn mạnh rằng chương trình thưởng nhằm mục đích hợp nhất cộng đồng và thu hồi tài sản bị đánh cắp. Anh lưu ý rằng sàn giao dịch đang cân nhắc đến khả năng rút tiền một phần và cần thêm thời gian để xác định phương pháp tốt nhất.
Shetty cho biết:
“Thế giới có nhiều người tốt hơn xấu và tôi tin tưởng rằng nếu cả cộng đồng toàn cầu cùng nhau hợp tác, chúng ta có thể tìm ra thủ phạm và thu hồi tài sản bị đánh cắp. Chúng ta đã cùng nhau phát triển hệ sinh thái Web3 và không thể từ bỏ vào lúc này. Chúng ta đã bị tấn công nhưng phải đứng dậy và chiến đấu.”
Nguyên nhân và biện pháp đối phó
WazirX đã mô tả vụ hack là một “sự kiện bất khả kháng,” xuất phát từ sự không nhất quán giữa dữ liệu giao diện của Liminal và chi tiết giao dịch. Shetty làm rõ rằng vụ hack không phải do tấn công lừa đảo (phishing attack), mà đã lợi dụng bốn điểm yếu trong quá trình ký kết.
Công ty đã tạm ngừng hoạt động của nền tảng, trình báo cảnh sát và thông báo cho các cơ quan như FIU và CERT-In. Shetty cho biết rằng:
“Ngay cả khi giả định rằng tất cả 3 thiết bị của WazirX đều truy cập vào một liên kết giả mạo (điều này rất khó xảy ra do sự phân tách địa lý và các liên kết đã lưu), nó vẫn sẽ thất bại ở phía Liminal vì họ là người ký thứ tư và quá trình ký diễn ra trong hệ thống của họ chứ không phải trên trình duyệt.”
XEM THÊM
