Super Sushi Samurai Exploited for $4.6 Million Ahead of Launch

Super Sushi Samurai, a blockchain game built on layer-2 solution Blast, was exploited hours before its highly anticipated game launch. The exploit, believed to have been orchestrated by a white hat hacker, resulted in a $4.6 million loss due to a smart contract vulnerability. According to CertiK, an on-chain security firm, $4.6 million worth of tokens were compromised. Investigations revealed that an unauthorized party acquired 690 million SSS tokens and initiated a series of transactions through an exploit contract designed for this purpose. The attacker extracted 1310 ETH from the token's main liquidity pool by exploiting the smart contract vulnerability.

Super Sushi Samurai Bị Khai Thác 4,6 Triệu Đô La Trước Khi Ra Mắt

Siêu Sushi Samurai, một trò chơi blockchain do Blast Solutions thuộc lớp 2 phát triển, đã bị khai thác chỉ vài giờ trước thời điểm phát hành sản phẩm rất được mong đợi của hãng.

Lỗ Hổng Hợp Đồng Thông Minh Bị Lợi Dụng

Theo nhóm Super Sushi Samurai, vụ tấn công bắt nguồn từ một lỗ hổng trong mã hợp đồng thông minh, cho phép một bên trái phép khởi chạy chức năng đúc tiền vô hạn. Điều này dẫn đến việc tạo ra lượng lớn mã thông báo sau đó được bán vào nhóm thanh khoản.

"Chúng tôi đã bị bóc lột, liên quan đến chức năng đúc tiền. Chúng tôi vẫn đang xem xét mã. Các mã thông báo đã được đúc và bán vào nhóm thanh khoản."

Giao dịch: https://t.co/F4XeqdyJu2

Số tiền khai thác được nằm trong ví này: https://t.co/NWeTu5vMkj

— Siêu Sushi Samurai | SSS (@SSS_HQ) Ngày 21 tháng 3 năm 2024

CertiK Xác Nhận Vụ Khai Thác

CertiK, một công ty bảo mật on-chain, đã xác nhận vụ khai thác, ước tính thiệt hại lên tới 4,6 triệu đô la tiền mã thông báo. Theo dữ liệu từ CoinGecko, vụ tấn công đã dẫn đến giá trị mã thông báo giảm 99% sau khi số lượng mã thông báo trái phép được tạo ra.

Chi Tiết Vụ Khai Thác

Cuộc điều tra về vụ việc cho thấy bên trái phép đã mua được 690 triệu mã thông báo SSS, sau đó thực hiện một loạt giao dịch thông qua hợp đồng tấn công được thiết kế cho mục đích này.

"LP $SSS của @SSS_HQ vừa bị rút cạn đột ngột vì hợp đồng mã thông báo của họ có lỗi trong đó bạn có thể chuyển toàn bộ số dư cho chính mình sẽ nhân đôi số dư trong nhóm thanh khoản đó.

Thứ tự thực hiện các tác vụ là giảm số dư cho 'từ' và sau đó đặt số dư cho 'đến' - nếu đây cùng là một địa chỉ thì…" pic.twitter.com/RStMcFH3sy

— Cà phê (@coffeexcoin) Ngày 21 tháng 3 năm 2024

Bằng cách lợi dụng lỗ hổng trong chức năng cập nhật của nền tảng, kẻ tấn công đã nhân đôi số lượng mã thông báo mà chúng sở hữu 25 lần, thổi phồng số lượng lên 11,5 nghìn tỷ, sau đó được đổi lấy khoảng 1.310 ETH.

Nỗ Lực Phục Hồi

Sau vụ vi phạm, Super Sushi Samurai đã tích cực tương tác với cộng đồng, cung cấp thông tin cập nhật và đảm bảo qua kênh Telegram chính thức và các nền tảng truyền thông xã hội khác.

Trong một bài đăng, nhóm tiết lộ rằng vụ tấn công được thực hiện bởi một hacker mũ trắng đang liên lạc với nhóm của họ. Tin nhắn của hacker, được hiển thị trên Blastscan, chỉ ra rằng đây là một nhiệm vụ giải cứu và họ đang lên kế hoạch đền bù cho những người dùng bị ảnh hưởng.

Nhóm cũng đã công bố địa chỉ chứa số tiền bị xâm phạm để tạo điều kiện thuận lợi cho việc theo dõi và phục hồi tài sản bị mất, đồng thời họ đang làm việc với hacker mũ trắng để đảm bảo tiền được trả lại an toàn.

"Khám nghiệm tử thi:
Hợp đồng mã thông báo bị lỗi khi bạn chuyển toàn bộ số dư cho chính mình sẽ nhân đôi số dư trong nhóm thanh khoản. h/t @coffeexcoin

Chi tiết thiệt hại:
Tổng số ETH trong nhóm trước khi khai thác: 1.339,50 ETH
Mũ trắng: 1.310,04 ETH
Mũ đen: 40,28 ETH
Chúng tôi loại bỏ LP và nhận được: 29,09 ETH

Cập nhật:…"

— Siêu Sushi Samurai | SSS (@SSS_HQ) Ngày 22 tháng 3 năm 2024

Trong khi đó, bản cập nhật "khám nghiệm tử thi" của Super Sushi Samurai nêu rõ mức độ thiệt hại, với các cuộc đàm phán đang diễn ra để đạt được giải pháp bảo vệ cả người dùng và hacker mũ trắng có liên quan đến vụ việc.

Sự kiện này một lần nữa nhấn mạnh tầm quan trọng của việc đảm bảo an toàn trong không gian blockchain, đặc biệt là trong các hợp đồng thông minh. Các công ty phát triển trò chơi và nền tảng phải áp dụng các biện pháp bảo mật nghiêm ngặt để ngăn chặn các vụ tấn công trong tương lai và bảo vệ tài sản của người dùng.