Tất cả các token không thể thay thế (NFT) của Bored Ape Yacht Club (BAYC) và Mutant Ape Yacht Club (MAYC) bị đánh cắp từ nền tảng giao dịch ngang hàng NFT Trader đã được trả lại sau khi thanh toán tiền thưởng.

Các NFT trị giá gần 3 triệu USD đã bị đánh cắp trong vụ hack vào ngày 16 tháng 12. Theo các tin nhắn công khai, kẻ tấn công đã quy việc khai thác ban đầu cho một người dùng khác. “Tôi đến đây để nhặt rác còn sót lại,” họ viết và yêu cầu thanh toán tiền chuộc để trả lại NFT.

“Nếu bạn muốn lấy lại những NFT này thì bạn phải trả cho tôi 120 ETH […] và sau đó tôi sẽ gửi cho bạn NFT, chỉ đơn giản như vậy thôi và tôi không bao giờ nói dối, tin tôi đi […],” một trong những tin nhắn viết .

Một sáng kiến cộng đồng do Boring Security dẫn đầu – một dự án bảo mật Web3 phi lợi nhuận do ApeCoin tài trợ – đã thu hồi tất cả tài sản trong vòng chưa đầy 24 giờ sau khi trả khoản tiền thưởng 120 Ether (ETH), trị giá khoảng 267.000 USD tại thời điểm viết bài.

“Tất cả 36 BAYC và 18 MAYC mà kẻ khai thác có hiện đều thuộc quyền sở hữu của chúng tôi. Chúng tôi đã gửi cho cô ấy [hacker] 10% giá sàn của các bộ sưu tập dưới dạng tiền thưởng,” nhóm Boring Security viết trên X (trước đây là Twitter).

Tiền thưởng được trả bởi Greg Solano, người đồng sáng lập Yuga Labs. Công ty là người tạo ra cả bộ sưu tập NFT và các cuộc đàm phán được hỗ trợ để khôi phục mã thông báo và trả lại miễn phí cho chủ sở hữu ban đầu của chúng.

Theo “Foobar”, người sáng lập và nhà phát triển có biệt danh của Delegate, lỗ hổng này đã được giới thiệu 11 ngày trước sau khi nâng cấp hợp đồng thông minh cho phép lạm dụng tính năng đa cuộc gọi, cho phép chuyển NFT trái phép từ chủ sở hữu hợp pháp của chúng do quyền giao dịch đã được cấp trước đó.

Sự cố đã khiến người dùng kêu gọi thu hồi tất cả các quyền được cấp cho hai hợp đồng cũ 0xc310e760778ecbca4c65b6c559874757a4c4ece0 và 0x13d8faF4A690f5AE52E2D2C52938d1167057B9af. Foobar cho biết NFT có thể bị đánh cắp một lần nữa nếu phê duyệt không bị thu hồi. Nhà phát triển đã hỗ trợ nhóm của NFT Trader ngăn chặn cuộc tấn công ngay sau khi nó được phát hiện.