Sáng tác bởi: Luccy, Kaori, BlockBeats

Biên tập viên: Jack, BlockBeats

Ngày 9 tháng 9 Ngày 20, Balancer bị thiệt hại 238.000 USD trong một đợt tấn công mới. Phân tích của SlowMist Intelligence tin rằng đây là một cuộc tấn công chiếm quyền điều khiển BGP. Việc truy cập trang web để liên kết ví sẽ gây ra các cuộc tấn công lừa đảo. Sau đó, SlowMist MistTrack tuyên bố rằng phí tấn công Balancer đến từ nhóm lừa đảo Angel Drainer. Hiện tại, Balancer cho biết giao diện người dùng đã được bảo mật trở lại và nằm dưới sự kiểm soát của Balancer DAO.

BGPHijacking hay còn gọi là chiếm quyền điều khiển tuyến đường BGP, là một phương thức tấn công từ phía trước. Trong một cuộc tấn công BGPHijacking, kẻ tấn công gửi thông tin cập nhật định tuyến BGP sai để khiến các bộ định tuyến khác điều hướng lưu lượng truy cập sai hướng, từ đó nghe lén, giả mạo hoặc làm gián đoạn lưu lượng. Nói một cách đơn giản, trang web có thể gửi email spam phê duyệt các giao dịch, cho phép hợp đồng độc hại chuyển toàn bộ tiền của người dùng.

Đây cũng là điểm khác biệt lớn nhất so với các cuộc tấn công trước đó - cuộc tấn công nhắm vào giao diện Balancer.

OpCo, Orb Collective và chi phí thay đổi chiến lược phát triển

Điều đáng chú ý rằng, Trước cuộc tấn công này, có một tin tức quan trọng khác dành cho Balancer. Vào ngày 14 tháng 4, nhà cung cấp dịch vụ của Balancer, Balancer OpCo, đã thông báo rằng họ đã sa thải hai kỹ sư và giảm ngân sách hoạt động.

Balancer OpCo là công ty con thuộc sở hữu hoàn toàn của Balancer Foundation và cung cấp các nhà cung cấp dịch vụ quản lý và vận hành cũng như quy trình kỹ thuật và phát triển giao diện người dùng cho Balancer. Từ tháng 8 năm ngoái đến tháng 6 năm nay, 7 đề xuất liên quan đến Balancer OpCo trong Balancer DAO cho thấy 5 đề xuất đã được phê duyệt. Ngoài nguồn tài trợ cho nhóm, 250.000 BAL bổ sung đã được chuyển cho OpCo để OpCo có thể hoạt động cho hoạt động bán hàng tư nhân của các token. Hiện tại, các đề xuất tài trợ cho hoạt động của nền tảng trong năm tới cũng đang trong giai đoạn thảo luận sơ bộ.

Tuy nhiên, do thỏa thuận chuyển trọng tâm sang cải thiện giao diện người dùng và hoạt động tiếp thị nên số lượng nhân viên của Balancer OpCo đã giảm. Để đạt được mục tiêu này, Balancer sẽ thành lập một nhóm tiếp thị chuyên dụng, Orb Collective, chịu trách nhiệm thảo luận về các cơ chế về cách Balancer có thể làm việc với người dùng nền tảng nhằm thúc đẩy sự phát triển của giao thức Balancer thông qua các nỗ lực hợp tác, tiếp thị, tích hợp, thiết kế và vận hành con người để mở rộng giao thức Balancer.tỷ lệ chấp nhận toàn cầu. Vào tháng 8 năm ngoái, Orb Collective đã chính thức ra mắt và nhóm tuyên bố rằng chiến lược quảng cáo mới cũng sẽ sử dụng “âm thanh gốc được mã hóa của Twitter”.

Điều đáng chú ý là vào tháng 4 năm nay, Balancer Governance đã cập nhật kế hoạch tài chính của Orb Collective trong đề xuất gia hạn hợp đồng kiểm toán hợp đồng thông minh của Certora từ quý 2 năm 2023. Bắt đầu phân bổ vốn từ Ngân sách của Orb Collective dành cho OpCo với mục tiêu giữ an toàn cho tiền của người dùng Balancer. Tuy nhiên, gần 80% thành viên cộng đồng Balancer DAO đã từ chối đề xuất của Balancer OpCo Limited về việc tiến hành kiểm tra hợp đồng thông minh, đây là đề xuất duy nhất bị từ chối trong số bảy đề xuất.

Trong cùng tháng, Coindesk đã xuất bản Một bài viết có tiêu đề "Giao thức DeFi Balancer cắt giảm ngân sách và số lượng nhân viên trong bối cảnh thay đổi chiến lược" tuyên bố rằng Balancer sẽ thực hiện các điều chỉnh chiến lược. Theo bài báo, nhóm Balancer OpCo đã tiết lộ trong một cuộc gọi Discord có hơn 20 người tham dự vào tháng 4 rằng công ty đã sa thải hai kỹ sư và giảm ngân sách hoạt động.

Giám đốc điều hành của Orb Collective, Jeremy Musighi cho biết: "Chúng tôi rất vui mừng về tầm nhìn mới mà chúng tôi đã phát triển cho thương hiệu Balancer." "Đồng thời, chúng tôi đã và đang thực hiện một số điều chỉnh đối với nhân sự của nhóm tiếp thị để đảm bảo rằng chúng tôi có đúng người để thực hiện tầm nhìn mới này.” Vào quý 3 năm 2022, nhóm Orb đã xin cấp ngân sách hoạt động là 76.000 USD và muốn mở rộng trên các nền tảng xã hội , podcast, duy trì quan hệ cộng đồng và các khía cạnh khác đã nâng cao danh tiếng của Balancer. Trong quý 4, đề xuất yêu cầu ngân sách cho biết ngân sách hoạt động của nhóm Orb chỉ là 48.000 USD, giảm gần 50% do chu kỳ thị trường giá xuống.

Đồng thời, nhóm tuyên bố rằng việc này nhằm cải tổ chiến lược thương hiệu và sẽ chuyển trọng tâm sang cải thiện giao diện người dùng và hoạt động tiếp thị trong tương lai. Khi tin tức này được công bố, Balancer phải đối mặt với một số áp lực thị trường, có lẽ chính việc sa thải nhân viên front-end đã tạo cơ hội cho những kẻ tấn công tìm ra cách khác.

Lần này mặt trước của Balancer đã bị tấn công, thật khó để không kết nối nó với sự thất bại của đề xuất kiểm toán hợp đồng thông minh và việc sa thải nhân sự mặt trước. Có thể sự thay đổi chiến lược là sai và chu kỳ thị trường giá xuống là đúng khi nguồn vốn thắt chặt, tăng doanh thu và giảm chi tiêu.

Những lo lắng tiềm ẩn về giao diện người dùng tập trung

Ngoài các lý do nội bộ trong nhóm Balancer , cuộc tấn công này cũng đã gây ra mối lo ngại của cộng đồng về giao thức DeFi tập trung.

Trong lịch sử phát triển DeFi hiếm khi xảy ra sự cố thua lỗ do các cuộc tấn công từ phía trước.Vào tháng 12 năm 2021, trang web của tổ chức phi tập trung Badger DAO Một loạt mã độc đã được đưa vào mã, cho phép kẻ tấn công xác nhận giao dịch và chuyển token mà người dùng không hề hay biết. Vào tháng 5 năm 2022, DEX MM.Finance sinh thái Cronos đã phải hứng chịu một cuộc tấn công từ phía trước và tin tặc đã sử dụng các lỗ hổng DNS để đánh cắp tài sản trị giá hơn 2 triệu USD từ người dùng.

Lần cuối cùng có một cuộc thảo luận quy mô lớn về giao diện người dùng phi tập trung là vì Tornado Cash đã bị xử phạt và giao diện người dùng bị cấm. Nhưng ngày nay mặt trước cũng chịu áp lực về an ninh. Một số người cho rằng ENS có thể là giải pháp cho các cuộc tấn công front-end, nhưng độ phân giải tên miền ENS là “tập trung”, nên việc sử dụng nó để chống lại “các cuộc tấn công phi tập trung” là không thực tế lắm.

Mặc dù các hợp đồng DeFi không thể bị giả mạo hoặc rút lại sau khi triển khai và về mặt lý thuyết sẽ không chịu sự can thiệp của con người, nhưng phần lớn các giao diện người dùng vẫn được triển khai thông qua Bản thân trang web không ngừng biến đổi và phát triển nhưng lại tiềm ẩn rất nhiều mối đe dọa về tên miền, dịch vụ mạng, máy chủ, dịch vụ lưu trữ,… Đồng thời, các cuộc tấn công vào giao diện người dùng thường dễ bị các nhà phát triển bỏ qua.

Cơn sốt SocialFi gần đây The Người sáng lập DefiLlama 0xngmi cho biết trên mạng xã hội đã nêu, "Hiện tại, bạn bè và tất cả các phiên bản phân nhánh đều lưu trữ khóa của người dùng ở giao diện người dùng, do đó có thể lấy cắp khóa của người dùng hoặc tất cả tiền thông qua các bản cập nhật giao diện người dùng. Một số người có thể không phải Khóa đầy đủ được lưu trữ ở giao diện người dùng, nhưng họ có khóa trong bộ nhớ ở giao diện người dùng, vì vậy dù sao họ cũng dễ bị tấn công khi cung cấp."

Với tư cách là OG của DeFi, Balancer hiện đã bị tấn công bởi giao diện người dùng và các tiếng nói trong cộng đồng đã bắt đầu kêu gọi xây dựng một giao diện người dùng phi tập trung. Tuy nhiên, những tiếng nói như vậy không có quá nhiều, so với sức nóng do lệnh cấm front-end của Uniswap và Tornado Cash gây ra, những gì mà người dùng bình thường như chúng ta cần làm để hack front-end hiện nay vẫn cần được chúng ta khám phá. Tuy nhiên, quan trọng hơn, các bên dự án có trách nhiệm bảo vệ sự an toàn cho tài sản của người dùng nên lưu ý rằng khu rừng tối tăm này đòi hỏi sự cảnh giác thường xuyên.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia