Term Finance, giao thức cho vay DeFi hoạt động trên Ethereum (ETH), đã thiệt hại khoảng 8,5 triệu USD sau khi một kẻ tấn công lợi dụng cơ chế quản trị để giành quyền kiểm soát tài sản trong các vault vào ngày 23/8.
Các điểm chính
- Theo các chuyên gia an ninh blockchain, kẻ tấn công đã rút khoảng 8,5 triệu USD, gồm 2.843 ETH và khoảng 1,68 triệu USD stablecoin.
- Vụ việc nhằm vào lớp điều khiển quản trị, không phải lỗ hổng kỹ thuật hợp đồng thông minh thông thường.
- Theo Blockaid, Ethereum là blockchain chịu thiệt hại lớn nhất nửa đầu 2026, với khoảng 332 triệu USD bị đánh cắp trong các vụ được ghi nhận.
Chi tiết vụ tấn công Term Finance
Term Labs cho biết “Chúng tôi đã ghi nhận một vụ khai thác cơ chế quản trị ảnh hưởng đến các vault của Term” và khẳng định sẽ công bố thêm thông tin sau khi hoàn tất điều tra. PeckShield ước tính kẻ tấn công đã rút 2.843 ETH (trị giá khoảng 6,87 triệu USD) cùng 1,68 triệu USD Coin (USDC) khỏi giao thức.
Theo PeckShield, số USDC này sau đó được hoán đổi sang khoảng 1,68 triệu Dai (DAI), trong khi ví dùng để kích hoạt chiến dịch nhận 2 ETH qua Tornado Cash. Dòng tiền hiện chưa cho phép nhận diện danh tính kẻ tấn công.
Các phân tích ban đầu cho thấy kẻ tấn công đã âm thầm tích lũy đủ quyền biểu quyết để tự thông qua những đề xuất trao cho mình quyền kiểm soát các vault bị ảnh hưởng. Vụ việc chủ yếu khai thác thiết kế cơ chế quản trị, chứ không phải lỗi kỹ thuật trong mã hợp đồng thông minh, khiến tình trạng tham gia bỏ phiếu thấp và quyền biểu quyết tập trung trở thành mắt xích then chốt trong cuộc tấn công.
Xem thêm: Màu sắc iPhone 18 Pro bị rò rỉ, Cosmic Orange được cho là sẽ biến mất
Rủi ro bảo mật trên Ethereum
Blockaid thống kê 212 sự cố an ninh on-chain với tổng thiệt hại 1,1 tỷ USD trong nửa đầu 2026, trong đó Ethereum chiếm khoảng 332 triệu USD. Báo cáo đánh giá các lỗ hổng trong ứng dụng và logic vận hành giao thức là tác nhân chính dẫn tới tổn thất trên mạng lưới.
Khác với các cuộc tấn công lợi dụng lỗi mã hợp đồng, tấn công quản trị diễn ra thông qua các “đường điều khiển hợp lệ” – tức hành động độc hại vẫn đi qua kênh được hệ thống cho phép, thông qua biểu quyết và quy trình quản trị.
Điều này khiến mức độ tập trung quyền biểu quyết, quy trình thẩm định đề xuất và thời gian trì hoãn trước khi thực thi trở thành những lớp phòng thủ quan trọng, song hành với hoạt động kiểm toán hợp đồng thông minh.
Trước đó, Term Finance từng đối mặt với một sự cố vận hành khác ngày 26/4/2025, khi sai lệch về chữ số thập phân trong oracle kích hoạt thanh lý ngoài ý muốn khoảng 918 ETH. Giao thức đã thu hồi lại được khoảng 556 ETH, để lại khoản lỗ ròng 362 ETH (tương đương khoảng 650.000 USD) và cam kết bồi hoàn đầy đủ cho người dùng bị ảnh hưởng.
Bài tiếp theo: Bitcoin và vàng là hàng rào trước khủng hoảng nợ Mỹ, Ray Dalio cảnh báo
