Ethereum nền tảng DeFi Makina Finance đã mất 1.299 ETH trị giá khoảng 4,1 triệu USD vào ngày 20 tháng 1 sau khi hacker thao túng oracle giá trên pool thanh khoản DUSD-USDC được triển khai trên Curve Finance.
Một MEV builder đã frontran vụ tấn công và chiếm phần lớn số tiền bị đánh cắp, khiến nỗ lực thu hồi vốn trở nên phức tạp đối với giao thức quản lý lợi nhuận mới ra mắt vào tháng 2 năm 2025.
Công ty bảo mật blockchain PeckShield là đơn vị đầu tiên phát hiện vụ khai thác lúc 03:40:35 UTC, với kẻ tấn công đã chuyển đổi token bị đánh cắp sang ETH qua hai ví hiện đang nắm giữ số tài sản này.
Điều gì đã xảy ra
Kẻ tấn công vay một flash loan 280 triệu USDC, sử dụng 170 triệu để thao túng MachineShareOracle – oracle xác định giá cho pool stablecoin Dialectic USD và Dialectic USDC.
Sau khi thổi phồng giá trong pool một cách nhân tạo, kẻ này giao dịch 110 triệu USDC với pool đã bị thao túng để rút 1.299 ETH trước khi hoàn trả khoản flash loan.
PeckShield xác nhận vụ tấn công đã lợi dụng lỗ hổng thao túng giá, trong đó thủ phạm thêm thanh khoản ngay trước khi đẩy giá lên và rút thanh khoản cùng lợi nhuận.
Tuy nhiên, một địa chỉ MEV builder bắt đầu bằng 0xa6c2 đã frontran giao dịch làm cạn kiệt pool, chiếm khoảng 4,14 triệu USD trong tổng số tiền bị đánh cắp.
Đọc thêm: Japan Bond Yields Hit Multi-Decade Highs, Threatening Global Crypto Liquidity
Tình hình hiện tại
Số ETH bị đánh cắp hiện nằm trong hai địa chỉ Ethereum: ví 0xbed2...dE25 giữ 3,3 triệu USD và ví 0x573d...910e chứa 880.000 USD.
Makina đã kích hoạt chế độ bảo mật trên tất cả các smart vault và khuyến cáo các nhà cung cấp thanh khoản pool DUSD trên Curve rút phần vốn còn lại.
Nền tảng xác nhận vụ khai thác chỉ ảnh hưởng đến vị thế cung cấp thanh khoản DUSD trên Curve, các tài sản và triển khai khác vẫn không bị ảnh hưởng.
Các công ty bảo mật bao gồm PeckShield, ExVul và TenArmor kêu gọi người dùng thu hồi quyền cấp phép cho smart contract và tránh tương tác với các hợp đồng của Makina cho đến khi điều tra xong.
Bối cảnh bảo mật DeFi
Các vụ khai thác flash loan vẫn phổ biến dù an ninh đã được cải thiện; sàn giao dịch phi tập trung Bunni mất 8,4 triệu USD vào tháng 10 năm 2025 và Shibarium chịu một vụ tấn công trị giá 2,4 triệu USD vào tháng 9.
Tuy nhiên, dữ liệu từ Chainalysis cho thấy tổn thất do hack DeFi vẫn ở mức thấp trong suốt năm 2025, ngay cả khi tổng giá trị khóa (TVL) đạt 119 tỷ USD, đánh dấu sự khác biệt so với xu hướng lịch sử khi dòng vốn tăng thường đi kèm tần suất tấn công cao hơn.
Tổng số tiền điện tử bị đánh cắp đạt 3,4 tỷ USD trong năm 2025, nhưng trọng tâm tấn công đã chuyển sang các sàn tập trung và ví cá nhân thay vì các giao thức DeFi.
Đọc tiếp: Russian Lawmakers Propose Harsh Mining Penalties: Individuals Face $1,500 Fines, Companies $100K+