Tapioca DAO ngăn chặn 1.000 ETH trị giá 2,7 triệu USD khỏi bị đánh cắp sau khi bị khai thác làm cạn kiệt phần lớn quỹ của mình

Tapioca DAO đã chịu một cuộc tấn công lớn dẫn đến giá token TAP giảm hơn 95%. Khoảng 4,5 triệu đô la tiền điện tử đã bị đánh cắp, mặc dù đội ngũ cho biết họ đang trong quá trình khôi phục quỹ với sự trợ giúp từ công ty bảo mật web3 Fuzzland và các bên khác.

"Tất cả người dùng hiện tại của Nền tảng Tapioca DAO được khuyến cáo hủy bỏ các phê duyệt đối với Hợp đồng của chúng tôi cho đến khi sự cố gần đây được giải quyết," Quỹ Tapioca cho biết trên X. "Vui lòng liên hệ với hỗ trợ trang web nếu gặp bất kỳ vấn đề nào khi hủy bỏ phê duyệt."

Theo quỹ, kẻ tấn công đã có thể xâm nhập hợp đồng vesting của token, cho phép hắn bán 30 triệu token TAP đã vest — lúc đó trị giá khoảng 1,40 đô la, hiện chỉ còn dưới 0,04 đô la — cũng như hợp đồng stablecoin USDO.

Tổng cộng, kẻ tấn công đã lấy đi khoảng 4.405.600 đô la, bao gồm 2,8 triệu USDC và 1.575.606 đô la ETH từ cặp thanh khoản USDO/USDC. Số tiền bị đánh cắp đã được đổi sang ETH, sau đó là USDT, và sau đó được chuyển từ Arbitrum sang BNB Chain, nơi mà tại thời điểm báo chí, chúng vẫn còn.

Tapioca là một giao thức thị trường tiền tệ phi tập trung dựa trên LayerZero để vay tiền điện tử trên nhiều blockchain. Nó sử dụng một stablecoin gọi là USDO và Tapioca Omnichain Fungible Tokens (TOFTs) để cho phép người dùng di chuyển tài sản được bọc giữa các mạng.

Theo Fuzzland, có vẻ như kẻ tấn công đã lấy được khóa riêng thông qua kỹ thuật xã hội. Trên Discord, đồng sáng lập Tapioca Matt Marino cho biết thành viên Discord 0xRektora đã bị liên hệ về việc một người bạn được thuê, điều này đã lừa anh ta hạ thấp cảnh giác đủ để kết nối ví phần cứng mà kẻ tấn công đã sử dụng để chiếm quyền sở hữu TAP.

"Triều Tiên luôn là người thu gom rác ở đây," Fuzzland nói, nhắc lại ZachXBT rằng kết nối với Vương quốc Ẩn dật chưa được chứng minh và tình hình "phức tạp."

Những cuộc tấn công đó "là kết quả của các trò lừa đảo việc làm giả" nơi các diễn viên Triều Tiên đóng giả làm đối tượng phỏng vấn hoặc nhà cung cấp để có được quyền truy cập hoặc thông tin cần thiết để đánh cắp quỹ, ZachXBT nói. Có nhiều giai thoại và một cuộc điều tra gần đây của CoinDesk cho thấy loại lừa đảo "phỏng vấn lây nhiễm" này là một vấn đề phổ biến và đang gia tăng trong lĩnh vực tiền điện tử.

Khôi phục quỹ?

"Chúng tôi đã phối hợp và đang hoạt động trong một phòng chiến tranh với các cá nhân và thực thể cần thiết để tiến hành, và sẽ thông báo về các bước tiếp theo khi tình hình được kiểm soát," quỹ viết.

Tony, một kỹ sư bảo mật tại Fuzzland và thành viên của đội phản ứng khẩn cấp tình nguyện SEAL911, là một trong những thành viên trong phòng chiến tranh, đã làm việc để giúp họ khôi phục một phần quỹ mà hacker không để ý, anh nói với The Block.

Theo Marino trên Discord, tổ chức đã chuyển 1.000 ETH trị giá khoảng 2,7 triệu đô la từ một kho đến một vị trí an toàn — multisig của DAO. "1000 ETH là tài sản thế chấp của DAO trong Big Bang Origins để đúc USDO cho USDO/USDC LP," anh nói thêm.

"Đội ngũ đã cố gắng cứu những tài sản này bằng cách đầu tiên phê duyệt Multicall, mà bất kỳ ai cũng có thể lấy đi những tài sản này. May mắn thay, không ai phát hiện ra và họ đã quản lý để vẫn cứu được những tài sản này," đồng sáng lập Fuzzland Chaofan Shou nói với The Block.

Tuy nhiên, đội phản ứng vẫn chưa thể khôi phục bất kỳ tài sản nào bị đánh cắp. Kho bạc của DAO hiện tại là 4,2 triệu đô la, Marino cho biết.