GriffinAI bị hacker tấn công, lộ ra lỗ hổng bảo mật mới về quyền kiểm soát token

Tác giả: Eric, Foresight News

Tiêu đề gốc: Giá token gần như về 0, GriffinAI - tân binh Alpha của Binance bị hacker tấn công

Vào tối qua theo giờ Đông 8, Binance Alpha đã phát hành airdrop token GAIN của dự án Web3 AI GriffinAI cho người dùng có điểm số trên 210. Tuy nhiên, chỉ 12 giờ sau khi airdrop kết thúc, GriffinAI đã bị hacker tấn công, với 5 tỷ token GAIN bị phát hành thêm một cách ác ý. Điều này khiến giá GAIN trong vòng 1 giờ đã giảm từ mức cao nhất khoảng 0,163 USD xuống còn khoảng 0,003 USD, gần như về 0. Tính đến thời điểm viết bài, giá GAIN đã phục hồi lên khoảng 0,026 USD.

Bắt đầu từ khoảng 9:30 sáng (UTC+8), hacker đã chuyển đổi số GAIN phát hành thêm sang BNB, sau đó thực hiện giao dịch cross-chain sang Ethereum và bắt đầu chuyển tiền đánh cắp sang Tornado Cash. Sau một cuộc điều tra, nhà sáng lập GriffinAI, Oliver Feldmeier đã đăng tweet cho biết hacker đã tấn công bằng cách thêm một LayerZero Peer chưa được cấp phép, triển khai hợp đồng giả mạo trên Ethereum (token TTTTT, địa chỉ 0x7a8caf), và thêm nó làm LayerZero Peer của GAIN trên Ethereum, qua đó vượt qua hợp đồng chính thức. Sau đó, hacker đã sử dụng LayerZero để cross-chain token giả trên Ethereum nhằm phát hành thêm GAIN trên BNB Chain.

Tính đến thời điểm đăng bài, GriffinAI đã loại bỏ thanh khoản chính thức trên BNB Chain và yêu cầu các sàn giao dịch niêm yết GAIN tạm dừng nạp, giao dịch và rút GAIN trên BNB Chain.

GriffinAI là một trong số ít các dự án Web3 tiêu biểu đến từ châu Âu bị tấn công lần này.

GriffinAI được thành lập tại Thụy Sĩ, nhà sáng lập Oliver Feldmeier từng là đồng sáng lập SMART VALOR. SMART VALOR đã ra mắt sàn giao dịch tài sản số được quản lý hoàn toàn đầu tiên tại Thụy Sĩ và Liechtenstein vào năm 2019, đồng thời trở thành sàn giao dịch tài sản số châu Âu đầu tiên niêm yết trên Nasdaq Bắc Âu. Giám đốc phát triển kinh doanh chính của GriffinAI, Colin Fitzpatrick, từng là trưởng bộ phận hệ sinh thái đa đám mây của Oracle, còn kỹ sư blockchain Roman từng làm việc tại Binance và Trust Wallet.

GriffinAI hướng tới xây dựng một khung kỹ thuật giúp các mô hình ngôn ngữ lớn và AI Agent dễ dàng tích hợp lên blockchain, cung cấp quyền truy cập thuận tiện tới các dịch vụ AI tập trung và phi tập trung, đơn giản hóa quy trình phát triển, triển khai và kiếm tiền từ AI Agent. Kiến trúc của GriffinAI bao gồm ba thành phần cốt lõi: mạng lưới AI phi tập trung, hệ thống quản lý danh tính và uy tín, khung AI Agent.

• Mạng lưới AI phi tập trung: GriffinAI giới thiệu một mạng lưới phi tập trung gồm các nhà cung cấp mô hình AI và dịch vụ độc lập. Các nhà cung cấp này cung cấp các dịch vụ như LLM được lưu trữ, mô hình AI, bộ dữ liệu, API, v.v. Nhà cung cấp dịch vụ có thể là công ty, dự án, DAO hoặc cá nhân. Mỗi nhà cung cấp đều đóng vai trò là nhà vận hành node, chạy phần mềm giao thức GriffinAI, người dùng có thể truy cập các dịch vụ AI này thông qua các primitive mã hóa và API.

• Hệ thống quản lý danh tính và uy tín: GriffinAI đã ra mắt một hệ thống đăng ký danh tính phi tập trung và một hệ thống uy tín phân tán. Hệ thống đăng ký danh tính cho phép các thành viên mạng đăng ký danh tính và khóa công khai của họ để xác thực và xác minh tin nhắn. Hệ thống uy tín được sử dụng để ghi lại và đánh giá hiệu suất của các nhà vận hành node (nhà cung cấp dịch vụ, nhà cung cấp client) và AI Agent.

• Khung AI Agent: Khung này cung cấp cho các nhà sáng tạo các công cụ và tài nguyên cần thiết để phát triển và triển khai AI Agent trong lĩnh vực blockchain. Nó bao gồm các giao thức và thư viện công cụ cần thiết để agent tương tác với chức năng blockchain. Khung này xây dựng một môi trường cho phép AI Agent tự động thực hiện nhiệm vụ và đạt được mục tiêu.

Hiện tại, GriffinAI đã ra mắt nhiều sản phẩm liên quan đến AI, bao gồm AI Agent mã nguồn mở LLaMA Agent, AI Image Generator, DeFi AI Agent TEA và AI Agent Alpha Hunter hỗ trợ người dùng nghiên cứu các token mới lên sàn.

Hacker bắt đầu nhắm vào quyền phát hành token

Trước đó, đội ngũ UXLINK - nền tảng xã hội Web3 và nhà cung cấp hạ tầng - đã gặp sự cố rò rỉ private key của ví đa chữ ký, dẫn đến việc token bị phát hành thêm hàng loạt, buộc phải phát hành token mới để thay thế hợp đồng token cũ. Rõ ràng, khi mã hợp đồng của các giao thức DeFi ngày càng hoàn thiện, hacker bắt đầu chuyển mục tiêu sang quyền phát hành token. Trước đây là vụ tấn công vào ví đa chữ ký của UXLINK, nay là việc tìm cách khiến LayerZero peer trên BNB Chain tin tưởng tính hợp pháp của token giả trên Ethereum để cross-chain phát hành thêm token.

Nếu như việc bị đánh cắp quỹ trong pool DeFi vẫn còn cơ hội phục hồi, thì việc phát hành thêm token hoặc quyền phát hành token bị chiếm đoạt sẽ gây tổn hại gần như vĩnh viễn cho dự án. Hai sự kiện nghiêm trọng xảy ra trong tháng này cũng là hồi chuông cảnh tỉnh cho các dự án: ngoài việc chú trọng đến an toàn hợp đồng dự án, cần quan tâm đến an toàn quyền kiểm soát của đội ngũ và hợp đồng token, đặc biệt với các token hỗ trợ cross-chain, thiết kế logic hợp đồng cần phải hết sức cẩn trọng.