Bot Telegram Banana Gun chịu lỗ 3 triệu đô từ vụ hack

Bot giao dịch tiền điện tử trên Telegram, Banana Gun, vừa thông báo sẽ hoàn trả cho người dùng bị mất tổng cộng 3 triệu đô la trong một vụ hack gần đây do 11 kẻ tấn công thực hiện.

Vào ngày 19 tháng 9, một số người dùng của Banana Gun đã báo cáo các giao dịch chuyển tiền ra ngoài không được phép từ ví tiền điện tử của họ. Sự việc này buộc Banana Gun phải tạm thời tắt các bot Ethereum Virtual Machine (EVM) và Solana để tránh tổn thất thêm.

Bot giao dịch tiền điện tử giúp thực hiện các giao dịch tự động, thường được các nhà giao dịch tiền điện tử sử dụng để tối ưu hóa lợi nhuận.

Trong khi các cuộc điều tra ban đầu cho thấy 36 người dùng bị ảnh hưởng bởi cuộc tấn công và mất gần 2 triệu đô la Ether (ETH), báo cáo sau sự cố của Banana Gun tiết lộ giá trị tổn thất cao hơn với ít nạn nhân hơn.

“Tổng cộng có 11 người dùng bị ảnh hưởng, với 3 triệu đô la bị rút cạn. Tất cả người dùng bị ảnh hưởng sẽ được hoàn trả đầy đủ từ ngân quỹ của Banana Gun, không có token nào được bán để bồi thường,” công ty bot cho biết.

Lỗ hổng trong oracle tin nhắn Telegram

Không giống như các hacker thường nhắm vào các nhà đầu tư mới, kẻ tấn công Banana Gun đã nhắm vào các nhà giao dịch tiền điện tử dày dạn và có thể chuyển ETH từ ví của họ một cách thủ công khi các bot giao dịch đang hoạt động.

Các giao dịch chuyển tiền không được phép thủ công và thông báo trong bot về các giao dịch này khiến Banana Gun nghi ngờ rằng hacker đã khai thác một lỗ hổng trong oracle tin nhắn Telegram.

Sau khi vá lỗ hổng, Banana Gun đã khôi phục các bot EVM và Solana và triển khai các biện pháp bảo mật để ngăn chặn việc rút tiền thêm. Các biện pháp bao gồm trì hoãn chuyển tiền hai giờ, 2FA cho các giao dịch chuyển tiền và xem xét kỹ lưỡng hệ thống, trong số các biện pháp khác.

Đàm phán với hacker

Vào ngày 21 tháng 9, hacker đã đánh cắp 5 triệu đô la từ giao thức yield Shezmu đã trả lại hầu hết số tiền bị đánh cắp sau khi chấp nhận phần thưởng white hat.

Shezmu phát hiện một trong các vault stablecoin ShezmuUSD (ShezUSD) của mình bị khai thác, và hacker yêu cầu trả lại 90% số tiền bị đánh cắp trong vòng 24 giờ thông qua một tin nhắn onchain.

Trong vòng vài giờ, Shezmu bắt đầu nhận lại các token Dai (DAI) bị đánh cắp vào ví của mình. Hacker ban đầu trả lại 282.18 Ether (ETH) cho giao thức và sau đó tiếp tục hoàn trả thêm 137 Wrapped Ether (WETH).

Chain Việt Nam