Kẻ tấn công TrustedVolumes trả lại 1.122 ETH, giữ lại 2 triệu USD tiền thưởng: Dữ liệu on-chain kể câu chuyện gì?

Dấu vết đầu tiên nằm ở những block giao dịch lẻ tẻ. Vào ngày 18 tháng 7, một địa chỉ ví đã thực hiện giao dịch chuyển 1.122 ETH (khoảng 3,8 triệu USD) đến địa chỉ triển khai của giao thức TrustedVolumes. Nhưng điều bất thường là cùng ngày, địa chỉ đó vẫn giữ lại 1.391 ETH (khoảng 4,7 triệu USD). Tại sao một kẻ tấn công lại trả một nửa và giữ một nửa? Để trả lời, tôi phải lọc nhiễu từ hàng nghìn block giao dịch. Bối cảnh: Vào ngày 7 tháng 5 năm 2024, TrustedVolumes – một giao thức DeFi quản lý nhiều loại tài sản bao gồm ETH, WBTC và stablecoin – đã bị tấn công. Theo dữ liệu từ hệ thống giám sát Shield, vụ tấn công đã rút hơn 5,8 triệu USD từ các pool thanh khoản. Kẻ tấn công nhanh chóng chuyển đổi tất cả tài sản ăn cắp thành 2.513 ETH. Đây là một dấu hiệu điển hình của tấn công nhanh (flash loan) hoặc khai thác lỗ hổng hợp đồng thông minh. Kể từ đó, số ETH này nằm im trong một địa chỉ cho đến ngày 18 tháng 7, khi nó được chia làm hai. Phân tích cốt lõi: Tôi theo dõi dòng tiền của địa chỉ tấn công từ ngày 7 tháng 5. Bức tranh DeFi hiện ra qua từng pool thanh khoản: không có dấu hiệu rửa tiền qua mixer hay sàn tập trung. Điều này khác với các vụ tấn công thông thường. Khi so sánh với các vụ hack DeFi nổi tiếng như Poly Network (2021) – nơi kẻ tấn công trả lại toàn bộ và nhận tiền thưởng – hay Aurora (2022) – nơi kẻ tấn công giữ lại 1,5 triệu USD làm phần thưởng – tôi thấy một mô hình tương tự: kẻ tấn công không phải là tội phạm thuần túy, mà là một white-hat hoặc grey-hat đang đàm phán phần thưởng. Dữ liệu on-chain cho thấy địa chỉ TrustedVolumes đã gửi một tin nhắn trong giao dịch (calldata) chứa một hàm yêu cầu trả lại tài sản, và kẻ tấn công đã phản hồi bằng việc gửi 1.122 ETH. Điều này xác nhận hai bên đã có giao tiếp. Quyết định giữ lại 1.391 ETH (tương đương khoảng 2 triệu USD) cho thấy kẻ tấn công coi đó là phần thưởng cho việc phát hiện lỗ hổng. Góc nhìn phản trực giác: Tin tức thường ca ngợi việc trả lại tài sản như một kết thúc có hậu. Nhưng với tư cách là một người kiểm chứng dữ liệu, tôi thấy câu chuyện không đơn giản vậy. Thứ nhất, chỉ 50% tài sản được trả lại – người dùng TrustedVolumes vẫn mất khoảng 3 triệu USD nếu giao thức không bù đắp. Thứ hai, hành vi giữ lại phần thưởng tự xưng này có thể tạo ra một tiền lệ nguy hiểm: các hacker khác có thể học theo, tấn công rồi yêu cầu tiền thưởng. Thứ ba, lỗ hổng bảo mật được khai thác vẫn chưa được tiết lộ công khai; nếu TrustedVolumes không sửa nó, giao thức vẫn đang chứa bom nổ chậm. Dữ liệu on-chain không nói dối, nhưng cách diễn giải có thể sai lầm nếu chỉ nhìn vào bề nổi. Kết luận: Tuần tới, tôi sẽ theo dõi địa chỉ kẻ tấn công – nếu nó chuyển 1.391 ETH sang sàn giao dịch, đó là tín hiệu thanh lý. Ngược lại, nếu nó tiếp tục giữ, có thể TrustedVolumes đã đồng ý với thỏa thuận. Lọc nhiễu, tìm tín hiệu – đó là cuộc chơi của tôi.