Humanity Protocol tiết lộ rằng cuộc tấn công khoảng 31 triệu USD xảy ra vào ngày 8 tháng 6 là do thiết bị của nhà phát triển bị nhiễm phần mềm độc hại. Kẻ tấn công sau đó đã lấy được quyền root trên thiết bị này và chiếm được 7 khóa riêng tư được sao lưu vô tình trên máy trong quá trình triển khai trên mainnet.
Liên quan đến 7 khóa riêng quan trọng
Đội ngũ dự án cho biết các khóa riêng này bao gồm một khóa riêng của ví nóng quản trị và sáu khóa riêng của Safe owner được phân bố trên Ethereum và BNB Chain. Kẻ tấn công không xâm nhập thông qua lỗ hổng mã nguồn, mà trực tiếp sử dụng các khóa riêng hợp lệ để ủy quyền giao dịch và chuyển tài sản.
Dự án khẳng định không phải do lỗ hổng hợp đồng
Theo nội dung được tiết lộ, sự cố này không phải do khai thác lỗ hổng hợp đồng thông minh. Vấn đề nằm ở khâu vận hành và kiểm soát truy cập, đặc biệt là việc sao lưu khóa, bảo mật thiết bị đầu cuối và quản lý quyền hạn trong giai đoạn đưa lên mạng chính.
Nguy cơ bảo mật vận hành gia tăng
Do kẻ tấn công sử dụng khóa riêng thực tế, loại rủi ro này thường khó phát hiện trước thông qua kiểm toán hợp đồng. Sự kiện này cũng một lần nữa đưa quản lý khóa riêng, cách ly môi trường phát triển và an toàn hạ tầng trở thành trọng tâm quan tâm của các dự án mã hóa.