Nền tảng vay phi tập trung Venus Protocol ngày Chủ nhật đã thông báo rằng đã phát hiện hoạt động giao dịch bất thường liên quan đến quỹ token Thena (THE) trong bể chính. Theo cuộc điều tra mới nhất của đối tác quản lý rủi ro của Venus là Allez Labs, vụ việc này là một cuộc tấn công thao túng giới hạn cung có chủ đích, kéo dài khoảng 9 tháng từ khi lên kế hoạch đến thực thi, gây thiệt hại hơn 3,7 triệu USD.
Phân tích toàn diện quá trình tấn công: bốn giai đoạn được lên kế hoạch kỹ lưỡng
Cuộc điều tra của Allez Labs đã tiết lộ toàn bộ logic hoạt động của vụ tấn công, chia thành bốn giai đoạn chính:
Giai đoạn 1: Tích trữ token chậm trong 9 tháng, bắt đầu từ tháng 6 năm 2025, kẻ tấn công từ từ tích lũy token THE, cuối cùng chiếm 84% giới hạn cung, khoảng 14,5 triệu token. Chiến thuật này giúp tránh kích hoạt cảnh báo rủi ro của nền tảng.
Giai đoạn 2: Chuyển khoản trực tiếp vượt qua giới hạn cung, kẻ tấn công không sử dụng quy trình gửi tiền bình thường mà trực tiếp chuyển token vào hợp đồng của giao thức, hoàn toàn bỏ qua cơ chế giới hạn cung, cuối cùng tạo ra vị thế 53,2 triệu THE, gấp 3,67 lần giới hạn cung.
Giai đoạn 3: Thao túng oracle TWAP, lợi dụng điểm yếu cấu trúc của token THE có tính thanh khoản rất thấp trên chuỗi, kẻ tấn công thực hiện thao tác lặp đi lặp lại để điều chỉnh giá TWAP (giá trung bình theo trọng số thời gian), đẩy giá THE từ khoảng 0,27 USD lên khoảng 0,53 USD.
Giai đoạn 4: Sử dụng giá trị thế chấp giả cao để vay mượn lượng lớn tài sản thanh khoản cao, dựa trên giá trị thế chấp bị đẩy lên nhân tạo, kẻ tấn công đã dùng 53,2 triệu THE làm tài sản thế chấp để vay nhiều loại tài sản có tính thanh khoản cao khác.
Chi tiết tài sản bị đánh cắp và các biện pháp ứng phó khẩn cấp của nền tảng
Trong thời điểm đỉnh điểm, kẻ tấn công đã vay mượn các tài sản sau:
- 6.670.000 token CAKE (token gốc của PancakeSwap)
- 2.801 token BNB (token gốc của BNB Chain)
- 1.970 token WBNB
- 1.580.000 USDC
- 20 BTCB (Bitcoin token hóa)
Venus Protocol đã ngay lập tức tạm dừng tất cả hoạt động vay và rút token THE, đồng thời để phòng ngừa, tạm thời ngưng các hoạt động vay và rút trong các thị trường có tính thanh khoản cao tập trung như BCH, LTC, UNI, AAVE, FIL và TWT. Các thị trường khác vẫn hoạt động bình thường.
Những bài học sâu sắc về rủi ro an ninh: tính dễ tổn thương hệ thống của token thanh khoản thấp
Vụ tấn công của Venus Protocol đã phơi bày nhiều rủi ro hệ thống trong các giao thức cho vay DeFi: oracle TWAP của token thanh khoản thấp rất dễ bị thao túng bằng các thao tác nhỏ; cơ chế giới hạn cung nếu không phòng ngừa chuyển khoản trực tiếp qua hợp đồng sẽ tồn tại lỗ hổng kỹ thuật có thể bị vượt qua; chiến lược tích trữ chậm kéo dài gần 9 tháng cũng cho thấy các điểm mù tiềm năng trong khả năng giám sát hành vi nắm giữ dài hạn của các giao thức.
Các câu hỏi thường gặp
Venus Protocol “tấn công giới hạn cung” là gì?
Giới hạn cung là cơ chế an toàn của hợp đồng nhằm giới hạn lượng tài sản tối đa có thể dùng làm tài sản thế chấp của một loại tài sản nhất định. Trong vụ này, kẻ tấn công đã vượt qua giới hạn này bằng cách chuyển trực tiếp vào hợp đồng, khiến lượng nắm giữ đạt 3,67 lần giới hạn, rồi dùng thao tác thao túng oracle để nhân đôi giá trị thế chấp, vay mượn vượt quá hạn mức tín dụng hợp lệ.
Tại sao vụ tấn công này có thể diễn ra trong thời gian dài mà không bị phát hiện?
Kẻ tấn công đã sử dụng chiến lược tích trữ “Low and Slow” (ít và chậm) kéo dài tới 9 tháng, giữ lượng nắm giữ trong mức không gây cảnh báo, đến khi tích lũy đủ 84% giới hạn cung mới thực hiện tấn công. Phương pháp này là cách phổ biến để vượt qua các cơ chế giám sát dựa trên ngưỡng, cho thấy các giao thức cần nâng cao khả năng giám sát hành vi dài hạn.
Venus Protocol đã thực hiện các biện pháp ứng phó khẩn cấp nào?
Venus Protocol đã ngay lập tức tạm dừng toàn bộ hoạt động vay và rút token THE, đồng thời phòng ngừa bằng cách tạm thời ngưng các hoạt động liên quan đến các thị trường có tính thanh khoản cao như BCH, LTC, UNI, AAVE, FIL và TWT. Các thị trường khác vẫn hoạt động bình thường. Đối tác an ninh của Allez Labs đang tiếp tục điều tra và cập nhật tiến trình.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Kẻ tấn công đúc 1B DOT, bán tháo lấy $237K ETH
Một sự cố an ninh liên quan đến phiên bản ERC-20 của Polkadot trên Ethereum đã làm dấy lên lo ngại, nhấn mạnh rủi ro của các tài sản được bọc (wrapped) và tài sản xuyên chuỗi. Một kẻ tấn công đã khai thác một lỗ hổng để đúc và xả 1 tỷ token DOT, gây ra sự sụp đổ của thị trường và làm nổi bật các điểm yếu trong việc quản lý hợp đồng thông minh.
Coinfomania2giờ trước
Ngôi sao nhạc G. Love thua lỗ 5,9 Bitcoin trong vụ lừa đảo đáng kinh ngạc trên App Store
_The musician G. Love mất 5.9 BTC trong vụ lừa đảo ứng dụng Ledger giả mạo, làm dấy lên lo ngại nghiêm trọng về an ninh crypto và mức độ cảnh giác của người dùng trên toàn thế giới._
Một vụ lừa đảo crypto lớn đã ảnh hưởng đến Garrett Dutton, người được biết đến rộng rãi với nghệ danh G. Love. Ca sĩ người Mỹ đã mất 5.9 Bitcoin trị giá gần 420,000. Khoản mất mát xảy ra khi anh t
LiveBTCNews2giờ trước
Aave rơi vào khủng hoảng niềm tin: các nhà cung cấp dịch vụ đồng loạt rời đi, “công nghệ, quản trị và kiểm soát rủi ro” sụp đổ toàn diện
Tác giả: Jae, PANews
So với áp lực bên ngoài của thị trường gấu, bên trong Aave lại xuất hiện trước một “thiên nga đen”.
Aave, vốn từ lâu thống trị vương tọa giao thức cho vay, đang trải qua biến động hệ sinh thái dữ dội nhất kể từ khi thành lập. Không có tấn công tin tặc, không có lỗ hổng mã nguồn; chỉ có sự kiểm soát quyền lực mất kiểm soát và lợi ích quay lưng.
Từ việc nhà trụ cột kỹ thuật BGD Labs quyết dứt ra đi, đến việc phái đoàn tiên phong về quản trị ACI (Aave Chan Initiative) công khai “đứt gãy”, rồi tiếp theo là việc quản gia quản lý rủi ro Chaos Labs chính thức tuyên bố chấm dứt hợp tác, một cuộc “rút lui lớn” của các nhà cung cấp dịch vụ đang diễn ra.
Độ sâu của ván cờ này vượt xa tranh chấp hợp tác, nó đã kích hoạt
区块客3giờ trước
Polkadot Trải Qua Lỗ Hổng Tấn Công Cầu Nối, Kẻ Tấn Công Đúc 1B $DOT Trên Ethereum
Polkadot đã phải đối mặt với một sự cố vi phạm bảo mật nghiêm trọng, khi một kẻ tấn công đã đúc 1B $DOT coins trên Ethereum thông qua một cầu nối bên thứ ba, rút cạn hơn $240,000 trong $ETH. Sự cố này cho thấy các lỗ hổng vẫn đang tồn tại trong cơ sở hạ tầng liên chuỗi và tác động của chúng đến sự ổn định của thị trường.
BlockChainReporter4giờ trước
CEO của Circle: Do vụ hack Drift bị đánh cắp USDC trong sự kiện "khó xử về đạo đức" mà chưa bị đóng băng
CEO của Circle, Jeremy Allaire, trả lời trước những lời chỉ trích rằng việc USDC bị đánh cắp đã không bị đóng băng trong một cuộc họp báo, nhấn mạnh rằng họ chỉ đóng băng ví khi có chỉ đạo thực thi pháp luật. Ngoài ra, ông cho biết Circle đang làm việc với các cơ quan lập pháp của Mỹ, với mong muốn thiết lập cơ chế “bến cảng an toàn” cho nhà phát hành stablecoin.
GateNews5giờ trước
Phụ nữ năm mươi tuổi ở Hồng Kông bị lừa đảo qua mạng hẹn hò khiến thiệt hại hơn 2 triệu nhân dân tệ, kẻ lừa đảo tự xưng là chuyên gia đầu tư tiền mã hóa
Cảnh sát Hồng Kông đã tiết lộ một vụ lừa đảo đầu tư tiền mã hóa, trong đó một phụ nữ bị lừa trên Instagram, thiệt hại lên tới hơn 2 triệu nhân dân tệ. Kẻ lừa đảo giả mạo chuyên gia đầu tư, dụ dỗ cô chuyển tiền và thực hiện nhiều lần đổi tiền mặt. Cảnh sát nhắc nhở khi kết bạn trực tuyến cần nâng cao cảnh giác, đề phòng lừa đảo chuyển tiền.
GateNews6giờ trước
