Dự án DEPIN io.net thanh minh về cáo buộc số GPU “ảo”

Ahmad Shadid, CEO của io.net, đã giải thích về cách giao thức này đang loại bỏ những người dùng giả mạo GPU để nhận phần thưởng. Ông khẳng định sự cố này sẽ không ảnh hưởng đến lịch trình phát hành sản phẩm mới và token IO.

Dự án DEPIN io.net thanh minh về cáo buộc số GPU “ảo”

Giám đốc điều hành Ahmad Shadid của io.net – dự án DePIN được định giá 1 tỷ USD, đã đưa ra phản hồi chi tiết trước những đồn đoán về số lượng GPU thực sự đang hoạt động trên nền tảng, đồng thời khẳng định rằng mạng lưới đã bị tấn công bởi bởi những người đang cố gắng giả mạo thông tin GPU để đổi lấy phần thưởng. 

Shalid chia sẻ trên X: “Giống như nhiều công ty khởi nghiệp khác, io.net có tốc độ phát triển nhanh chóng và đôi khi điều đó dẫn đến nhiều sai sót trong quá trình phát triển. Một sự cố đã xảy ra và đã có người hoặc một nhóm nào đó đang cố gắng tận dụng lỗ hổng đó.”

Postmortem on 4/27 Incident Report$IO Nation,

Over the last 120 hours, we worked to expel sybil attackers from the network, roll out multiple security patches, and put in place a new security model to prevent future incidents. The network infrastructure is now fully…

— SHADID | $IO™ (@shadid_io) April 28, 2024

Số lượng GPU kết nối với io.net đã tăng vọt kể từ khi dự án thông báo về số tiền gọi vốn và ra mắt chương trình incentive vào đầu tháng 3 vừa qua. Ban đầu, những GPU này phát ra các tín hiệu hoạt động hợp lệ và không có vấn đề gì xảy ra. 

Đến giữa tháng 3,  khi số lượng người tham gia tăng trưởng nhanh chóng , đội ngũ phát triển cần phát cơ sở hạ tầng để hỗ trợ sự gia nhập của các “worker” mới đồng thời chuẩn bị cho sự ra mắt của IO Cloud v2 vào cuối tháng 4  cùng sự kiện TGE token IO sắp tới.  

Trong quá trình làm việc, họ bắt đầu nghi ngờ rằng có một  nhóm tác nhân xấu sử dụng nhiều thủ đoạn khác nhau để giả mạo các “ worker” của io.net – hay còn gọi là hình thức Sybil Attack. 

Những kẻ xấu này đã thực hiện bán GPU ảo và các dịch vụ khác nhằm mục đích giả mạo GPU trong mạng lưới để “săn” điểm từ chương trình incentives của io.net. Điều này được thể hiện qua sự gia tăng đột biến của khoảng 1,8 triệu GPU giả mạo cố gắng kết nối với io.net.

Cuộc tấn công bắt đầu từ một lỗ hổng trong API, được thiết kế để hiển thị nội dung trên IO explorer. Theo tiết lộ từ io.net, họ đã vô tình làm lộ ID người dùng khi tìm kiếm theo ID thiết bị. Sự cố này đã bị khai thác bởi những kẻ xấu, họ đã thu thập thông tin này vào cơ sở dữ liệu của riêng họ.

Sau đó, họ phát hiện ra rằng trên một API khác, ‘worker-api’ có thể cập nhật bất kỳ metadata thiết bị nào khi chỉ cần truyền userID của chủ sở hữu trong header, mà không cần xác thực ở cấp độ người dùng 

Từ lỗ hổng trong 2 API trên, những kẻ giả mạo đã tạo ra hàng triệu GPU. Vào ngày 25/04, dự án mới phát hiện UUIDs của người dùng bị lộ, tạo điều kiện cho việc giả mạo thiết bị. 

Sau đó, các nhà phát triển đã nhanh chóng triển khai xác thực Auth0, yêu cầu xác thực từ mọi thiết bị khi truy cập API, tăng cường bảo mật nhưng cũng gây ra một số vấn đề ngắn hạn.

Đã có khoảng 120.000 GPU đã được xác minh thông qua hệ thống Proof of Work. Nhưng sau khi triển khai Auth0 thì chỉ có hơn 10.000 GPU hoàn thành quá trình này. 

There are around 120,000 GPUs that were verified in the last week using proof of work. We paid the owners of these GPUs to deploy workloads.

After the implementation of Auth0, these GPUs are required to update and restart in order to access the uptime API and send a heartbeat.…

— hushky.io (@0xHushky) April 28, 2024

Theo bài đăng,  đội ngũ IO Nation đã trải qua 120 giờ làm việc liên tục để loại bỏ các cuộc tấn công Sybil và triển khai một mô hình bảo mật mới để ngăn chặn các sự cố trong tương lai. 

Hiện cơ sở hạ tầng của dự án đang hoạt động đầy đủ và chính xác, mặc dù nguồn cung cấp GPU tạm thời giảm sút trong thời gian khi người dùng quay lại tham gia vào dự án.

Shadid cũng nhấn mạnh rằng cuộc tấn công này không ảnh hưởng đến kế hoạch phát triển của io.net: 

“Chúng tôi sẽ khởi động season 2 cho các nhà cung cấp GPU từ ngày 1 tháng 5 đến ngày 30 tháng 5, và tôi khuyến khích tất cả người dùng liên hệ và trao đổi với đội ngũ của io.net. Chúng tôi vẫn đang theo đúng lịch trình để ra mắt IO Cloud v2 và token IO và không để những trở ngại này làm chậm bước tiến của mình.”

Sau cuộc tấn công trên, io.net hiện đang có 777.562 GPU và 77.484 CPU.

GPU và CPU trên io.net. Nguồn: cloud.io.net (29/04/2024)

Tuy nhiên, cộng đồng cũng dấy lên một số nghi vấn về số lượng GPU tham gia vào dự án. Theo Martin Shkreli, io.net thật sự chỉ có 320 GPU đang hoạt động so với con số 69.415 trên trang chủ của dự án. 

why 320?
take a look at the explorer page with me. all of the GPUs are “free”, but you still can’t rent one. if they’re free, why not? people want to be paid, right?

the ones you can actually rent are 320.

they’re not real if you can’t rent them. and even if you could, it adds… pic.twitter.com/e2m49nbhkF

— Martin Shkreli (e/acc) (@MartinShkreli) April 27, 2024

Trong nỗ lực đối phó với những tin đồn này, một số nhà điều hành của dự án đã đăng tải các báo cáo về cuộc tấn công mà họ phải đối mặt vào ngày 25 tháng 4 như một động thái chứng minh io.net không làm giả dữ liệu.

Hushky, Giám đốc Chiến lược của io.net, thừa nhận: “Chúng tôi đã mắc sai lầm. Mặc dù có nhiều vấn đề nhưng mạng lưới vẫn cung cấp hàng chục nghìn giờ tính toán mỗi tháng và đang ngày càng phát triển. Đây là giai đoạn đầu, và chắc chắn sẽ có những trở ngại gặp phải.”

So – we fucked up.

On 4/25/24 user(s) were able to use previously exposed user ID tokens to perform a SQL injection attack and mess with device metadata.

To prevent this in the future, we accelerated a deployment of auth zero authentication (OKTA) at the device level, which… https://t.co/PXdthHMU81

— hushky.io (@0xHushky) April 28, 2024

Tim Copeland, tổng biên tập của The Block đã mỉa mai về số lượng retweet cho một bài đăng mà tờ báo này viết về io.net đến từ đâu kèm bên dưới là tweet của Martin Shkreli viết về lượng GPU thật sự mà io.net sở hữu

Sau đó, Hushky cũng đã đính chính ngay trong bài viết rằng lượng retweet này đến từ một nhiệm vụ trong chương trình Galxe của dự án dành cho cộng đồng và khẳng định không hề sử dụng bots. 

We, like many others use Galxe to give community members who can’t afford to provide compute capacity to participate in other ways. The consequence of that is that bots try to farm engagement.

The Galxe quests ended on the 25th. We’re sorry to have upset you.

— hushky.io (@0xHushky) April 28, 2024

Sau thông báo về cuộc tấn công, giá pre-market của IO đã có sự sụt giảm hơn 30% từ 5,66 USD xuống 4,3 USD tại thời điểm viết bài.

Biểu đồ giá pre-market của io.net. Nguồn: Whales Market (29/04/2024) 

Coin68 tổng hợp

Tham gia thảo luận về những vấn đề NÓNG HỔI nhất của thị trường DeFi tại nhóm chat Fomo Sapiens cùng các admin Coin68 nhé!!!