Bot Telegram Banana Gun sẽ chịu khoản lỗ 3 triệu USD do bị hack
Banana Gun đã xác nhận khoản lỗ 3 triệu đô la do lỗ hổng trong bot giao dịch của họ, ảnh hưởng đến các nhà giao dịch tiền điện tử giàu kinh nghiệm.
Bot giao dịch tiền điện tử Banana Gun trên Telegram đã tuyên bố sẽ hoàn lại tiền cho những người dùng đã mất tổng cộng 3 triệu USD trong vụ tấn công gần đây do 11 kẻ tấn công thực hiện.
Vào ngày 19 tháng 9, một số người dùng Banana Gun đã báo cáo về các giao dịch chuyển tiền trái phép từ ví tiền điện tử của họ. Sự việc này đã buộc Banana Gun phải tạm thời tắt Ethereum Virtual Machine (EVM) và bot Solana để tránh tổn thất thêm.
Các bot giao dịch tiền điện tử tạo điều kiện cho các giao dịch tự động, thường được các nhà giao dịch tiền điện tử sử dụng để tối ưu hóa lợi nhuận.
Trong khi các cuộc điều tra ban đầu cho thấy 36 người dùng đã bị ảnh hưởng bởi cuộc tấn công và mất gần 2 triệu đô la giá trị Ether
Báo cáo khám nghiệm tử thi của Banana Gun cho thấy giá trị thiệt hại cao hơn nhưng số thương vong ít hơn.
“Tổng cộng có 11 người dùng bị ảnh hưởng, với 3 triệu đô la bị rút. Tất cả người dùng bị ảnh hưởng sẽ được hoàn lại toàn bộ tiền từ kho bạc Banana Gun, không có token nào được bán để hoàn lại tiền”, công ty bot tuyên bố.
Lỗ hổng trong tin nhắn Telegram oracle
Không giống như tin tặc thường nhắm vào các nhà đầu tư mới vào nghề, kẻ tấn công Banana Gun nhắm vào các nhà giao dịch tiền điện tử dày dặn kinh nghiệm và có thể chuyển ETH thủ công từ ví của họ trong khi các bot giao dịch đang được sử dụng.
Việc chuyển tiền thủ công trái phép và thông báo trong bot về các lần chuyển tiền khiến Banana Gun nghi ngờ rằng tin tặc đã khai thác lỗ hổng trong chương trình oracle tin nhắn Telegram.
Sau khi vá lỗ hổng, Banana Gun đã khởi động lại các bot EVM và Solana và triển khai các biện pháp bảo mật để ngăn chặn tình trạng rút tiền thêm. Các biện pháp bao gồm trì hoãn chuyển tiền trong hai giờ, xác thực hai yếu tố khi chuyển tiền và xem xét kỹ lưỡng các hệ thống, cùng nhiều biện pháp khác.
Đàm phán với hacker
Vào ngày 21 tháng 9, tin tặc đã đánh cắp 5 triệu đô la từ giao thức đòn bẩy lợi nhuận Shezmu đã trả lại hầu hết số tiền bị đánh cắp sau khi nhận tiền thưởng mũ trắng.
Shezmu phát hiện một trong những két tiền ổn định ShezmuUSD (ShezUSD) của mình đã bị khai thác và tin tặc yêu cầu phải trả lại 90% số tiền bị đánh cắp trong vòng 24 giờ thông qua tin nhắn trên chuỗi.
Trong vòng vài giờ, Shezmu bắt đầu nhận được Dai bị đánh cắp token trong ví của mình. Tin tặc ban đầu đã trả lại 282,18 Ether theo giao thức và tiếp tục hoàn lại 137 Wrapped Ether (WETH).
