Nền tảng Pump.fun, một nền tảng tạo meme coin trong hệ sinh thái Solana (SOL), đã bị khai thác 2 triệu USD trong một vụ tấn công nội bộ. Kẻ tấn công được xác định là Jarrett, cựu nhân viên của Pump.fun, được biết đến nhiều hơn với bút danh STACCOverflow.

Vụ tấn công xảy ra vào ngày 16/5/2024, lúc 22:21 giờ VN, khiến cho 12.300 SOL bị đánh cắp, tương đương với giá trị gần 2 triệu USD theo giá thị trường hiện tại.

Kẻ tấn công sử dụng các khoản vay nhanh để thao túng Pump.fun

Kẻ tấn công đã sử dụng chiến thuật tinh vi để khai thác Pump.fun. Cụ thể, họ đã sử dụng các khoản vay nhanh từ Margin.fi để có được SOL và mua token Pump.fun mà không cần sử dụng tiền của chính mình. Sau đó, anh ta đã thao túng giá của Pump.fun bằng cách mua tất cả token của các dự án mới được tung ra trên nền tảng trong vòng vài phút. Hành động này đã đẩy đường cong liên kết đến giới hạn của nó, khiến cho việc niêm yết token trên Raydium DEX, một sàn giao dịch phi tập trung ở Solana, trở nên bất khả thi

Khai thác Flash Loan bởi kẻ tấn công của Pump.fun. Nguồn: Solscan
Khai thác Flash Loan bởi kẻ tấn công của Pump.fun. Nguồn: Solscan

Điều thú vị là Jarrett cũng tuyên bố rằng anh ta sẽ phân phối chiến lợi phẩm của mình thông qua airdrop giữa các cộng đồng khác nhau, bao gồm Slerf, Stacc, Saga và Risklol. Do quyết định thực hiện airdrop của anh ta, một số người trong cộng đồng tiền điện tử đã gọi anh ấy là “Web3 Robinhood”.

Pump.fun đã nâng cấp hệ thống để ngăn chặn các cuộc tấn công trong tương lai

Để đối phó với cuộc tấn công, Pump.fun đã nâng cấp các hợp đồng thông minh của mình để ngăn chặn việc khai thác thêm. Nhóm cũng đã tạm dừng giao dịch và đảm bảo với người dùng rằng tổng giá trị bị khóa (TVL) của giao thức vẫn an toàn.

Vụ tấn công Pump.fun là một lời nhắc nhở về tầm quan trọng của bảo mật trong lĩnh vực tiền điện tử. Các nền tảng Defi cần phải thực hiện các biện pháp bảo mật nghiêm ngặt để bảo vệ người dùng khỏi các cuộc tấn công tương tự xảy ra trong tương lai.