Ba dự án tiền mã hóa đã thiệt hại hơn 11 triệu USD trong ngày 24/9, khi Payy Network, Duelbits và Meter Network lần lượt trở thành mục tiêu với các phương thức tấn công khác nhau.
Các điểm chính:
- Payy Network mất khoảng 1,8 triệu USD sau khi cầu nối Ethereum bị vét sạch, trong khi Duelbits báo cáo thiệt hại khoảng 7 triệu USD.
- Kẻ tấn công Meter đúc khoảng 2,3 triệu USD tài sản không có tài sản bảo chứng và xả một phần qua PancakeSwap.
- Các vụ việc làm lộ rủi ro trải rộng từ cầu nối, ví nóng đến hệ thống xác minh token.
Tấn công vào Payy và Duelbits
Payy Network, nền tảng quản lý lương và ngân quỹ on-chain, đã tạm dừng hoạt động mạng lưới sau khi cầu nối Ethereum (ETH) bị tấn công. Nhà nghiên cứu on-chain Specter lần theo các giao dịch đáng ngờ trên cầu nối và cho biết kẻ tấn công dùng Railgun để cấp vốn trước khi hoán đổi khoảng 1,8 triệu USD USD Coin (USDC) sang Ethereum. Payy cho biết số tài sản bị rút cạn là tiền gửi không lưu ký thuộc Payy Network và người dùng Payy Wallet.
Sau đó, Duelbits trở thành mục tiêu tiếp theo. PeckShield ban đầu ước tính thiệt hại 4,3 triệu USD, trước khi Specter phát hiện thêm các địa chỉ bị ảnh hưởng trên Bitcoin (BTC) và Solana (SOL). Đồng sáng lập Duelbits sau đó cho biết tổng thiệt hại xấp xỉ 7 triệu USD và khẳng định: “Tiền của người dùng vẫn an toàn.”
Trường hợp của Meter diễn ra theo một cơ chế khác. Blockaid cho biết kẻ tấn công khai thác Meter Passport để đúc khoảng 2,3 triệu USD tài sản không có tài sản bảo chứng, rồi bán một phần qua PancakeSwap, khiến MTR (MTR) lao dốc gần 80% và MTRG (MTRG) giảm khoảng 75%.
Xem thêm: Đà bứt phá Ethereum phụ thuộc mốc 2.800 USD sau khi giành lại đường trung bình 200 ngày
Bối cảnh an ninh từ Blockaid
Các nhà nghiên cứu bảo mật cho rằng ba vụ việc xuất phát từ những điểm yếu khác nhau, chứ không phải một lỗ hổng chung. Payy sau đó cho biết rà soát ban đầu cho thấy vụ tấn công “KHÔNG đến từ khóa riêng bị lộ, tấn công xã hội hay khai thác hạ tầng off-chain”. Trong khi đó, các báo cáo xung quanh Duelbits lại nghiêng về khả năng rò rỉ khóa riêng. Kết luận của Blockaid đối với Meter tập trung vào hành vi đúc tài sản trái phép thông qua cầu nối.
Cụm tấn công này diễn ra trong bối cảnh Bitget đang điều tra các chuyển tài sản trái phép, ban đầu ước khoảng 351,6 triệu USD, và tạm thời ngừng rút tiền để kiểm tra an ninh. Hoạt động giao dịch và nạp tiền vẫn duy trì, và sàn cho biết số dư hiển thị của người dùng vẫn chính xác. Ở một diễn biến khác, KelpDAO đã khởi kiện LayerZero và đồng sáng lập Brian Pellegrino liên quan đến vụ hack 292 triệu USD, cáo buộc rủi ro không được tiết lộ và hạn chế công nghệ là nguyên nhân dẫn đến tổn thất.
Các sự cố ngày 24/9 cũng làm dấy lên những lo ngại an ninh từng được nhắc đến trước đây tại hai trong số ba dự án. Duelbits từng mất khoảng 4,6 triệu USD trong vụ tấn công năm 2024 mà CertiK cho là có liên quan tới rò rỉ khóa riêng, còn Meter đã chịu một vụ khai thác cầu nối khoảng 4,4 triệu USD hồi năm 2022.
Bài tiếp theo: Michael Saylor muốn các ngân hàng biến Bitcoin thành tài sản thế chấp thường ngày
