Báo cáo An ninh Hàng tuần AvengerDAO

AvengerDAO là sáng kiến cộng đồng nhằm bảo vệ người dùng và dự án trên các mạng blockchain công khai khỏi các tác nhân và hoạt động độc hại. Thông qua việc chủ động nhận diện, cảnh báo các dự án rủi ro cao với Red Alarm của DappBay, AvengerDAO hỗ trợ người dùng Web3 an toàn khám phá hệ sinh thái blockchain bằng cách cung cấp đánh giá rủi ro toàn diện, mô tả rủi ro và thông tin bảo mật chi tiết.

Các sự cố an ninh

Gần đây, lĩnh vực an ninh blockchain tiếp tục ghi nhận nhiều lỗ hổng đáng chú ý. Theo HashDit, công ty an ninh blockchain hàng đầu và là thành viên AvengerDAO, đã xảy ra nhiều sự cố trên các mạng blockchain lớn, tất cả đều bị xếp vào nhóm bị hack.

Các sự cố bao gồm:

• Multichain: Sự cố MPC (Tính toán đa bên) bị xâm phạm dẫn đến tổn thất nghiêm trọng
• WGPT: Tấn công thao túng quỹ dự trữ gây thiệt hại lớn
• LUSD: Tấn công thao túng quỹ dự trữ khiến thất thoát đáng kể

Phân tích xu hướng thiệt hại cho thấy hệ sinh thái liên tục đối mặt thách thức bảo mật, với giá trị thiệt hại mỗi sự cố thường từ hàng trăm nghìn đến hàng triệu đô la Mỹ.

Bài học rút ra

Kiểu tấn công thao túng quỹ dự trữ đang là điểm yếu nghiêm trọng của hệ sinh thái hiện tại. Nguyên nhân chủ yếu do lỗi hợp đồng thông minh trong các hợp đồng staking phụ thuộc dữ liệu giá tức thời từ Pool thanh khoản. Việc phụ thuộc này tạo ra lỗ hổng để kẻ tấn công thao túng giá ngắn hạn, rút sạch quỹ dự trữ.

Để phát hiện và giảm thiểu các rủi ro này, người dùng và nhà phát triển nên sử dụng công cụ Risk Scanner của DappBay, cung cấp phân tích toàn diện về lỗ hổng tiềm ẩn. Hiểu rõ các kịch bản tấn công là điều kiện tiên quyết để nhà phát triển xây dựng hợp đồng thông minh an toàn và người dùng đánh giá mức độ tin cậy trước khi sử dụng ứng dụng phi tập trung.

Các dự án dApp rủi ro cao mới phát hiện

AvengerDAO thường xuyên công bố danh sách đầy đủ các dự án và địa chỉ rủi ro trên DappBay Red Alarm. Phân tích gần đây đã phát hiện nhiều nhóm dApp rủi ro cao:

Dự án Ponzi hoặc nghi ngờ Ponzi: Nhóm này dùng thủ đoạn lừa đảo, hứa hẹn lợi nhuận cực cao để thu hút nhà đầu tư. AIMINER, BNBDaily, EverGreen là ví dụ. Các mô hình này sớm muộn đều sụp đổ khi dòng vốn mới không còn đủ duy trì lợi nhuận hứa hẹn.

dApp lừa đảo (Phishing): Các nền tảng giả mạo trang web chính thống để lừa người dùng tiết lộ khóa cá nhân hoặc cấp quyền thực hiện giao dịch trái phép. BTCASH bị xác định là dApp phishing. Người dùng cần kiểm tra kỹ URL và tuyệt đối không nhập thông tin quan trọng trên nền tảng lạ.

dApp Bẫy (Honeypot): Kẻ gian tạo token mới với mã code chỉ cho phép ví của họ rút tiền. Người dùng chỉ phát hiện bị bẫy khi rút tiền không thành công.

Cửa hậu và nghi ngờ cửa hậu: Tương tự như lỗ hổng bảo mật truyền thống, cửa hậu trên blockchain là đoạn mã cố ý cài vào hợp đồng thông minh để vượt kiểm soát bảo mật. Fintoch là dự án bị cảnh báo có nguy cơ cửa hậu; người dùng nên kiểm tra các dự án này qua CoinMarketCap trước khi tham gia.

Hợp đồng chưa xác minh: Loại hợp đồng này che giấu mã nguồn, gây khó cho kiểm định. Stargate và Landshare là ví dụ. Dù không phải mọi trường hợp đều nguy hiểm, nhưng nhóm này tiềm ẩn nhiều rủi ro hơn.

Các nhóm rủi ro khác: Bao gồm dự án phí token cao, thiếu tài liệu và whitepaper, website không hoạt động, đội ngũ phát triển ẩn danh hoặc dApp giả mạo tên thương hiệu nhưng dùng hợp đồng khác.

Khắc phục rủi ro mới nhất – Dự án TVL >1 triệu USD

AvengerDAO liên tục rà soát các dự án có tổng giá trị khóa (TVL) trên 1 triệu USD. Đánh giá mới đây phát hiện một số dự án có nguy cơ, nhiều dự án đã được xử lý thành công. Phần lớn vấn đề liên quan đến triển khai ví đa chữ ký chưa đạt chuẩn.

Ví đa chữ ký yêu cầu nhiều bên phê duyệt giao dịch, giúp nâng cao bảo mật, loại bỏ điểm yếu do cá nhân kiểm soát. AvengerDAO khuyến nghị các dự án rà soát, áp dụng Khung quản lý rủi ro Web3 để chuẩn hóa và tăng cường an ninh hạ tầng.

Khuyến nghị Khung quản lý rủi ro Web3

AvengerDAO phối hợp các đối tác trong ngành xây dựng Khung quản lý rủi ro Web3 toàn diện, thúc đẩy chuẩn hóa thực tiễn bảo mật. Khung này thiết lập tiêu chuẩn ngành, nâng cao nhận thức về concept và quy trình an toàn cho toàn hệ sinh thái.

Khung gồm 5 lĩnh vực trọng tâm:

Duy trì hoạt động: Đảm bảo dự án luôn ổn định, duy trì dịch vụ cho người pipeline khi gặp sự cố.

Ví tiền điện tử: Danh mục kiểm tra toàn diện quản lý ví an toàn gồm tạo, lưu trữ, sao lưu, phục hồi khóa.

Tài chính phi tập trung (DeFi): Xác lập yếu tố bảo mật quan trọng cho ứng dụng DeFi, gồm thực tiễn hợp đồng thông minh, quản lý thanh khoản và bảo vệ người dùng.

Hợp đồng thông minh: Tiêu chuẩn bảo mật cho phát triển hợp đồng thông minh, bao gồm kiểm toán mã, kiểm thử lỗ hổng, xác minh hình thức.

Quản trị dự án: Thực tiễn tốt nhất về quản trị Web3, gồm cơ cấu team, minh bạch, quy trình bảo mật vận hành.

Tất cả dự án blockchain cần tự đánh giá theo các khuyến nghị và danh mục kiểm tra này để nhận diện, khắc phục kịp thời lỗ hổng chưa bị khai thác.

Kết luận

Bối cảnh an uniform blockchain đòi hỏi cảnh giác liên tục và tuân thủ thực tiễn chuẩn mực. Báo cáo định kỳ và Khung quản lý rủi ro Web3 của AvengerDAO là nguồn tài liệu quan trọng bảo vệ người dùng, dự án khỏi mất mát tài chính, hoạt động gian lận. Người dùng nên thực hiện nghiên cứu kỹ (DYOR) trước khi tham gia dApp, xác minh thông tin trên CoinMarketCap với dự án như Fintoch. Chủ động cập nhật cảnh báo từ AvengerDAO, tuân thủ Khung quản lý rủi ro Web3, duy trì ý thức bảo mật sẽ giúp cộng đồng củng cố hệ sinh thái blockchain, bảo đảm môi trường an toàn cho đổi mới, ứng dụng. Luôn nhớ giữ SAFU (Secure And Fund Unified).

Câu hỏi thường gặp

Fintoch có những tính năng kỹ thuật gì? Dự án này giải quyết vấn đề nào?

Fintoch trang bị giao thức bảo mật tiên tiến, công nghệ cho vay đòn bẩy, giải quyết lỗ hổng gian lận trên nền tảng DeFi. Dự án cung cấp dịch vụ tài chính toàn diện gồm cho vay, đầu tư, vay vốn với cơ chế bảo vệ nâng cao.

Đầu tư vào Fintoch có rủi ro gì? Cần lưu ý điều gì?

Đầu tư Fintoch tiềm ẩn rủi ro rất cao, có thể mất toàn bộ vốn. Hãy nghiên cứu kỹ, nắm rõ biến động thị trường, xác minh thông tin từ nguồn tin cậy và chỉ đầu tư số tiền bạn chấp nhận mất. Đánh giá kỹ khả năng chịu rủi ro trước khi tham gia.