Ba dự án tiền mã hóa đã chịu thiệt hại hơn 11 triệu USD trong ngày 24/9, khi Payy Network, Duelbits và Meter Network lần lượt trở thành nạn nhân của các phương thức tấn công khác nhau.
Những điểm chính:
- Payy Network mất khoảng 1,8 triệu USD sau khi cầu nối Ethereum bị rút sạch thanh khoản, trong khi Duelbits báo cáo thiệt hại khoảng 7 triệu USD.
- Tin tặc trên Meter đúc trái phép khoảng 2,3 triệu USD tài sản không bảo chứng và xả một phần qua PancakeSwap.
- Các vụ việc làm lộ rõ rủi ro trên cầu nối cross-chain, ví nóng và hệ thống xác thực token.
Các vụ tấn công vào Payy và Duelbits
Payy Network – nền tảng on-chain chuyên về chi trả lương và quản lý ngân quỹ – đã tạm dừng hoạt động sau khi cầu nối Ethereum (ETH) bị tấn công. Nhà phân tích on-chain Specter truy vết các giao dịch khả nghi trên cầu nối và cho biết kẻ tấn công dùng Railgun để cấp vốn trước khi hoán đổi khoảng 1,8 triệu USD USD Coin (USDC) sang Ethereum. Payy cho biết số tài sản bị rút là các khoản tiền phi lưu ký (non-custodial) thuộc Payy Network và người dùng Payy Wallet.
Ngay sau đó, Duelbits trở thành mục tiêu tiếp theo. PeckShield ban đầu ước tính thiệt hại ở mức 4,3 triệu USD, trước khi Specter phát hiện thêm nhiều địa chỉ bị ảnh hưởng trên Bitcoin (BTC) và Solana (SOL). Một đồng sáng lập Duelbits sau đó nâng tổng thiệt hại lên gần 7 triệu USD, đồng thời khẳng định: “Tiền của người dùng vẫn an toàn.”
Vụ việc với Meter lại diễn ra theo kịch bản khác. Theo Blockaid, tin tặc đã lợi dụng lỗ hổng trên Meter Passport để tự ý đúc khoảng 2,3 triệu USD tài sản không được bảo chứng, rồi bán một phần qua PancakeSwap. Giá MTR (MTR) lao dốc gần 80%, trong khi MTRG (MTRG) cũng mất khoảng 75% giá trị.
Đọc thêm: Đột phá Ethereum phụ thuộc mốc 2.800 USD sau khi giành lại đường trung bình 200 ngày
Bối cảnh bảo mật theo Blockaid
Các nhà nghiên cứu bảo mật cho rằng ba vụ việc xuất phát từ những điểm yếu khác nhau, chứ không phải một lỗ hổng chung. Payy sau đó cho biết rà soát ban đầu cho thấy vụ tấn công “không phải do khóa bị lộ, tấn công xã hội hay khai thác hạ tầng off-chain của chúng tôi”, trong khi các báo cáo xung quanh Duelbits lại nghiêng về khả năng rò rỉ khóa riêng tư. Với Meter, phân tích của Blockaid tập trung vào hành vi đúc trái phép token thông qua cầu nối.
Cụm tấn công này diễn ra trong bối cảnh Bitget đang điều tra các lệnh chuyển tài sản trái phép, ban đầu ước tính khoảng 351,6 triệu USD, buộc sàn phải tạm thời khóa rút tiền để kiểm tra an ninh. Giao dịch và nạp tiền vẫn diễn ra bình thường, và sàn khẳng định số dư hiển thị của người dùng là chính xác. Ở một diễn biến khác, KelpDAO đã khởi kiện LayerZero và đồng sáng lập Brian Pellegrino liên quan vụ hack 292 triệu USD, cáo buộc phía bị đơn che giấu rủi ro và thiếu sót về công nghệ dẫn tới tổn thất.
Loạt sự cố ngày 24/9 cũng làm sống lại những lo ngại an ninh từng đeo bám hai trong số các dự án nói trên. Duelbits từng mất khoảng 4,6 triệu USD trong một vụ tấn công năm 2024 mà CertiK cho là có thể liên quan rò rỉ khóa riêng tư, trong khi Meter cũng chịu một vụ khai thác cầu nối trị giá khoảng 4,4 triệu USD vào năm 2022.
Bài viết tiếp theo: Michael Saylor muốn các ngân hàng biến Bitcoin thành tài sản thế chấp cho đời sống hàng ngày
