เงิน 1.92 ล้านดอลลาร์ถูกถอนจาก Payy Bridge ยืนยันเบื้องต้นไม่ใช่คีย์รั่วไหล

เงินฝากของผู้ใช้มูลค่าประมาณ 1.92 ล้านดอลลาร์ (ประมาณ 2.63 พันล้านวอน) ถูกถอนออกจาก Ethereum Bridge ของ Payy สองครั้ง โดย Payy ระบุว่าการวิเคราะห์เบื้องต้นไม่พบว่าการขโมยคีย์ส่วนตัวหรือการโจมตีทางวิศวกรรมสังคมเป็นสาเหตุ

เงินที่ถูกถอนเป็นเหรียญยูเอสดีซี(USDC) ของผู้ใช้ที่ฝากไว้ใน Payy Network และ Payy Wallet ซึ่งเป็นระบบแบบไม่รับฝากสินทรัพย์ Payy ระงับการฝาก ถอน โอน และชำระเงินด้วยบัตรทั้งหมดเพื่อสอบสวนเหตุการณ์ โดย Unchained รายงานเรื่องนี้

ธุรกรรมแรกเกิดขึ้นเมื่อวันที่ 24 กันยายน เวลา 13:21 น. โดยส่งยูเอสดีซีมูลค่าประมาณ 1,828,589 ดอลลาร์ไปยังที่อยู่เดียวกัน หลังธุรกรรมดังกล่าว บริดจ์เหลือเงินประมาณ 95,000 ดอลลาร์

ประมาณ 5 ชั่วโมงต่อมา เวลา 18:30 น. มีเงินอีก 90,202 ดอลลาร์ถูกถอนออก ทำให้ยอดคงเหลือในบริดจ์ลดลงเหลือประมาณ 700 ดอลลาร์

ธุรกรรมทั้งสองรายการดำเนินผ่านฟังก์ชัน ‘verifyRollup’ ซึ่ง Payy ใช้บันทึกกิจกรรมของเครือข่ายบน Ethereum ที่อยู่ซึ่งส่งธุรกรรมเป็นที่อยู่เดียวกับที่ใช้บันทึกธุรกรรมแบบแบตช์ตามปกติ และธุรกรรม 200 รายการล่าสุดที่ส่งจากที่อยู่นี้นับตั้งแต่ปลายเดือนสิงหาคม ล้วนเรียกใช้ฟังก์ชันเดียวกัน

ที่อยู่ที่รับเงินดังกล่าวเคยใช้งานบริดจ์นี้ก่อนเกิดเหตุ เมื่อวันที่ 22 กันยายน ที่อยู่ดังกล่าวฝาก 5USDC และถอนออกในวันเดียวกัน จากนั้นวันที่ 23 กันยายนได้ฝาก 5USDC อีกครั้ง

เงินจากการถอนครั้งแรกถูกย้ายไปยังที่อยู่อื่นภายในประมาณ 8 นาที ก่อนถูกแลกผ่านยูนิสวอปXเป็นอีเธอเรียม(ETH)ประมาณ 683 ETH และภายในเวลา 14:39 น. ของวันเดียวกัน อีเธอเรียมส่วนใหญ่ถูกแบ่งเก็บไว้ในกระเป๋า 3 ใบ

ส่วนเงิน 90,202USDC ที่ถูกถอนครั้งที่สองยังคงอยู่ในที่อยู่ผู้รับจนถึงช่วงบ่ายของวันที่ 25 กันยายน

Payy ระบุว่า การวิเคราะห์สาเหตุเบื้องต้นพบว่าเหตุการณ์นี้ “ไม่ได้เกิดจากคีย์ที่ถูกทำให้เสียหาย วิศวกรรมสังคม หรือการโจมตีโครงสร้างพื้นฐานนอกเครือข่าย” อย่างไรก็ตาม บริษัทกำลังตรวจสอบผลการวิเคราะห์ร่วมกับบริษัทตรวจสอบ และจะเผยแพร่รายงานที่ผ่านการยืนยันภายในไม่กี่วัน

Payy กล่าวว่าได้ส่งที่อยู่ของผู้โจมตีให้หน่วยงานบังคับใช้กฎหมาย ตลาดซื้อขาย และบริษัทวิเคราะห์บล็อกเชนแล้ว แต่ยังไม่ได้เปิดเผยว่าจะชดเชยทรัพย์สินให้ผู้ใช้หรือไม่ และจะกลับมาเปิดใช้งานเครือข่ายกับกระเป๋าเงินเมื่อใด

บริดจ์เป็นโครงสร้างที่ใช้เคลื่อนย้ายสินทรัพย์ระหว่างบล็อกเชนต่างเครือข่าย โดยในเหตุการณ์นี้ สัญญาโรลอัปที่ใช้สะท้อนกิจกรรมของ Payy Network บน Ethereum กลายเป็นจุดที่เกิดการเคลื่อนย้ายเงิน แม้เงินฝากแบบไม่รับฝากสินทรัพย์จะหมายถึงผู้ใช้ยังถือสิทธิ์ควบคุมทรัพย์สิน แต่หากการทำงานของสัญญาบริดจ์หรือการจัดการสิทธิ์มีปัญหา ก็อาจกระทบต่อฟังก์ชันการถอนเงินได้

ในกรณีที่พบปัญหาความปลอดภัยต่อเนื่องใน Ethereum Bridge และสัญญาสเตกกิง ประเด็นสำคัญหลังการโจมตีคือความเป็นไปได้ในการถอนและกู้คืนเงินของผู้ใช้ เหตุการณ์ครั้งนี้ก็เช่นกัน โดยเส้นทางการรั่วไหลและขอบเขตความรับผิดชอบจะได้รับการยืนยันเพิ่มเติมจากรายงานที่ผ่านการตรวจสอบของ Payy

ขณะนี้ Payy ยังคงระงับการฝาก ถอน โอน และชำระเงินด้วยบัตรทั้งหมด ส่วนการชดเชยให้ผู้ใช้และกำหนดการกลับมาเปิดบริการยังไม่มีการเปิดเผย

Payy จะเผยแพร่รายงานที่ผ่านการยืนยันหลังการตรวจสอบโดยบริษัทตรวจสอบเสร็จสิ้น