Foom.Cash, một giao thức quyền riêng tư trên Ethereum, được cho là đã mất khoảng 2,26 triệu USD token sau khi kẻ tấn công khai thác lỗi trong hệ thống xác minh mật mã, khiến zkSNARK bị giả mạo và rút lượng lớn FOOM khỏi các hợp đồng trên Ethereum và Base.
Vụ việc thu hút chú ý vì có dấu hiệu “bắt chước” một lỗ hổng tương tự xảy ra chỉ vài ngày trước đó, đồng thời cho thấy rủi ro cấu hình sai trong các bộ xác minh zkSNARK có thể vô hiệu hóa các tuyên bố bảo mật của giao thức.
- Kẻ tấn công lợi dụng cấu hình sai khóa xác minh để giả mạo bằng chứng zkSNARK và rút FOOM.
- Sự cố xảy ra trên cả Ethereum và Base, với một giao dịch trên Base liên quan trực tiếp khoảng 427.000 USD.
- Một phần giao dịch trên Ethereum khoảng 1,83 triệu USD được cho là hoạt động “white-hat rescue”, nhưng dự án chưa công khai phản hồi.
Lỗ hổng xác minh zkSNARK đã khiến FOOM bị rút như thế nào
Kẻ tấn công được cho là đã lợi dụng cấu hình sai trong hệ thống xác minh để tạo bằng chứng zkSNARK giả, khiến hợp đồng chấp nhận “thông tin xác thực” không hợp lệ và cho phép rút FOOM nhiều lần.
Mạng lưới bảo mật Web3 do BinanceLabs dẫn dắt, GoPlus Security, cảnh báo rằng cấu hình khóa xác minh không chính xác đã mở đường cho việc giả mạo zkSNARK proofs. Khi cơ chế xác minh bị qua mặt, kẻ tấn công có thể “bịa” thông tin mật mã mà giao thức vẫn coi là hợp lệ để rút token khỏi các hợp đồng bị ảnh hưởng.
Nền tảng bảo mật blockchain Certik, trong bài đăng trên X, nêu một khả năng nguyên nhân gốc liên quan đến cấu hình Groth16 verifier tại địa chỉ 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6, với thiết lập “delta2==gamma2”. Theo mô tả kỹ thuật, điều này có thể cho phép tính toán “pC” cho các “nullifierHash” khác nhau trong khi các đầu vào còn lại giữ nguyên, dẫn đến việc thu thập token lặp lại.
Tóm lại, một hệ thống quảng bá khả năng bảo vệ mật mã “khó đảo ngược” vẫn có thể sụp đổ nếu bộ xác minh zkSNARK bị cấu hình sai. Với các giao thức quyền riêng tư, rủi ro không chỉ nằm ở thuật toán, mà còn nằm ở cách triển khai và cấu hình tham số xác minh.
Thiệt hại ước tính khoảng 2,26 triệu USD và diễn biến trên Base, Ethereum
Sự cố được báo cáo đã làm thất thoát khoảng 2,26 triệu USD token, trong đó một giao dịch trên Base gắn với kẻ tấn công khoảng 427.000 USD, còn các giao dịch trên Ethereum khoảng 1,83 triệu USD có thể thuộc hoạt động cứu trợ white-hat.
Các cảnh báo từ nhiều đơn vị an ninh blockchain cho biết các hợp đồng trên cả Ethereum và Base đã bị tấn công. Tổng cộng 24.283.773.519.600 FOOM token, tài sản gốc của nền tảng, đã bị rút khỏi các hợp đồng bị xâm phạm trong chuỗi giao dịch được mô tả là khai thác lỗ hổng xác minh.
Một giao dịch đơn lẻ trên Base được ghi nhận gây thiệt hại xấp xỉ 427.000 USD và được quy trực tiếp cho tác nhân độc hại. Trong khi đó, các giao dịch trên Ethereum khoảng 1,83 triệu USD được một số bên nghiên cứu xem là hoạt động “white-hat rescue”, tức có thể nhằm thu hồi/di chuyển tài sản khỏi vùng rủi ro thay vì chiếm đoạt.
Dấu hiệu tấn công bắt chước và điểm tương đồng với sự cố Veil Cash
Hệ thống giám sát cho rằng đây là một cuộc tấn công bắt chước, khai thác cùng nguyên nhân gốc đã được xác định trong vụ vi phạm Veil Cash diễn ra vài ngày trước đó.
Hệ thống giám sát Phalcon của BlockSec, qua bản cập nhật, cho biết đã phát hiện giao dịch đáng ngờ theo thời gian thực trên cả hai mạng và đánh giá sự cố có tính chất “imitation attack”. Nhận định này dựa trên việc kẻ tấn công tận dụng cùng nguyên nhân gốc từng xuất hiện trong vụ Veil Cash.
Vụ Veil Cash được mô tả có quy mô nhỏ hơn, với thiệt hại được báo cáo giới hạn ở một lượng ETH nhỏ, khoảng 2,9 ETH. Dù vậy, việc lỗ hổng tương tự xuất hiện liên tiếp cho thấy các mẫu cấu hình/verifier sai có thể bị sao chép nhanh giữa các giao thức cùng “họ” triển khai zkSNARK.
Foom.Cash là gì trong hệ sinh thái quyền riêng tư trên Ethereum
Foom.Cash tự định vị là “Private Lottery Protocol” dùng ZKProof, kết hợp tính ẩn danh kiểu Zcash, khả năng tiếp cận DeFi của Ethereum và cơ chế thưởng ngẫu nhiên.
Dự án Foom.Cash mô tả mình là một giao thức “ZKProof-powered Private Lottery Protocol”, hướng đến việc đưa quyền riêng tư “gốc” vào hạ tầng Ethereum, đồng thời có mô-đun phần thưởng ngẫu nhiên. Cách định vị này nhằm dung hòa giữa quyền riêng tư (thường gắn với các chain chuyên biệt như Zcash) và trải nghiệm thanh khoản/sản phẩm DeFi trên Ethereum.
Nền tảng quảng bá như một bản nâng cấp của Tornado Cash và là lựa chọn thay thế Zcash trên Ethereum. Tornado Cash từng bị Bộ Tài chính Mỹ trừng phạt năm 2022, và thông tin trong bài cho biết lệnh trừng phạt đã được gỡ vào tháng 3/2025.
Foom.Cash cũng sử dụng zkSNARKs, một thành phần cốt lõi tạo nên các cam kết quyền riêng tư trong những giao thức đã được biết đến rộng rãi như Zcash. Điểm mấu chốt là: dù zkSNARK là nền tảng mật mã mạnh, việc triển khai verifier và cấu hình khóa xác minh vẫn là bề mặt tấn công quan trọng.
Dự án đang làm gì để khắc phục và thu hồi tài sản
Tính đến thời điểm đề cập, tín hiệu thu hồi duy nhất liên quan đến giao dịch khoảng 1,83 triệu USD được cho là cứu trợ white-hat, trong khi đội ngũ Foom.Cash chưa công khai xác nhận vụ việc.
Các báo cáo hiện chỉ gắn nỗ lực “recovery” với luồng giao dịch khoảng 1,83 triệu USD trên Ethereum, được mô tả là hoạt động white-hat. Tuy nhiên, phần thiệt hại khoảng 427.000 USD trên Base lại được quy trực tiếp cho kẻ tấn công.
Dù có dấu hiệu cứu trợ, đội ngũ Foom.Cash được cho là chưa đưa ra thông báo thừa nhận vụ hack, cũng chưa công bố phạm vi ảnh hưởng hay biện pháp giảm thiểu để ngăn tấn công lặp lại. Trong bối cảnh lỗ hổng liên quan cấu hình verifier, các bước khắc phục thường cần gồm tạm dừng hợp đồng rủi ro, thay thế/verifier parameters, audit độc lập và cơ chế giám sát on-chain chặt hơn.
“Nguyên nhân gốc có thể là thiết lập delta2==gamma2 của Groth16 verifier tại 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6. Điều này cho phép kẻ khai thác tính ‘pC’ cần thiết cho các ‘nullifierHash’ khác nhau trong khi các đầu vào còn lại giống nhau, và thu thập token lặp lại.”
– Certik, cảnh báo trên X
Những câu hỏi thường gặp
Foom.Cash bị hack vì lý do gì?
Các cảnh báo an ninh cho rằng nguyên nhân đến từ cấu hình sai trong hệ thống xác minh mật mã, khiến kẻ tấn công có thể giả mạo bằng chứng zkSNARK và làm hợp đồng chấp nhận chứng cứ không hợp lệ để rút FOOM.
Thiệt hại của vụ việc là bao nhiêu?
Thiệt hại được báo cáo khoảng 2,26 triệu USD token. Một giao dịch trên Base liên quan trực tiếp khoảng 427.000 USD, còn các giao dịch trên Ethereum khoảng 1,83 triệu USD được cho là hoạt động cứu trợ white-hat.
Vì sao sự cố được coi là “tấn công bắt chước”?
Hệ thống giám sát cho rằng kịch bản khai thác có cùng nguyên nhân gốc với vụ vi phạm Veil Cash chỉ vài ngày trước đó, cho thấy kẻ tấn công đã sao chép mô hình khai thác lỗ hổng tương tự.
Foom.Cash là giao thức gì?
Foom.Cash tự định vị là giao thức “Private Lottery Protocol” dùng ZKProof trên Ethereum, kết hợp quyền riêng tư kiểu Zcash với hệ sinh thái DeFi và cơ chế phần thưởng ngẫu nhiên.
Dự án đã xác nhận hoặc công bố kế hoạch khắc phục chưa?
Tại thời điểm được nêu, đội ngũ Foom.Cash chưa công khai xác nhận vụ hack hay kế hoạch giảm thiểu. Thông tin thu hồi chủ yếu gắn với giao dịch khoảng 1,83 triệu USD được cho là cứu trợ white-hat.
