Term Finance, một giao thức cho vay DeFi xây dựng trên Ethereum (ETH), đã bị thất thoát khoảng 8,5 triệu USD sau khi kẻ tấn công lợi dụng cơ chế quản trị để giành quyền kiểm soát tài sản trong các vault vào ngày 23/8.
Các điểm chính:
- Theo các đơn vị nghiên cứu bảo mật blockchain, kẻ tấn công đã rút khoảng 8,5 triệu USD, gồm 2.843 ETH và khoảng 1,68 triệu USD stablecoin.
- Vụ việc nhắm vào cơ chế quản trị thay vì lỗ hổng kỹ thuật hợp đồng thông minh truyền thống.
- Trong nửa đầu 2026, Ethereum dẫn đầu về giá trị thiệt hại trên blockchain với khoảng 332 triệu USD bị đánh cắp trong các vụ việc được thống kê, theo Blockaid.
Cách thức bị khai thác tại Term Finance
Term Labs cho biết trong một thông báo tuyên bố: “Chúng tôi ghi nhận một vụ lợi dụng lỗ hổng quản trị ảnh hưởng đến các Term vault” và khẳng định sẽ công bố thêm chi tiết sau khi hoàn tất điều tra. PeckShield ước tính kẻ tấn công đã rút 2.843 ETH, trị giá khoảng 6,87 triệu USD, cùng 1,68 triệu USD Coin (USDC) khỏi giao thức.
Theo PeckShield, kẻ tấn công đã hoán đổi số USDC này sang khoảng 1,68 triệu Dai (DAI), trong khi ví dùng để triển khai cuộc tấn công nhận 2 ETH thông qua Tornado Cash. Dòng tiền hiện chưa cho thấy danh tính phía đứng sau.
Các phân tích ban đầu cho thấy kẻ tấn công đã tích lũy đủ quyền biểu quyết trong hệ thống quản trị để tự thông qua các đề xuất, từ đó chiếm quyền kiểm soát những vault bị ảnh hưởng. Vụ việc dựa trên cơ chế quản trị onchain thay vì một lỗ hổng trực tiếp trong mã hợp đồng thông minh, khiến tình trạng tham gia bỏ phiếu thấp và quyền biểu quyết tập trung trở thành điểm yếu cốt lõi.
Xem thêm: Rò rỉ màu sắc iPhone 18 Pro, Cosmic Orange bị đồn sẽ biến mất
Rủi ro bảo mật trên Ethereum
Theo thống kê của Blockaid, trong nửa đầu 2026 đã ghi nhận 212 sự cố bảo mật onchain với tổng thiệt hại 1,1 tỷ USD, trong đó riêng Ethereum chiếm khoảng 332 triệu USD. Báo cáo cho biết các lỗ hổng trong ứng dụng và logic giao thức là những tác nhân chính gây ra tổn thất trên mạng lưới này.
Khác với các vụ hack hợp đồng thông minh thông thường, tấn công quản trị là dạng rủi ro “hợp pháp về mặt kỹ thuật”, khi các hành động độc hại được thực hiện thông qua các kênh điều khiển được ủy quyền thay vì phá vỡ mã hợp đồng.
Điều đó khiến mức độ tập trung quyền biểu quyết, quy trình thẩm định đề xuất và độ trễ khi triển khai quyết định trở thành những lớp phòng vệ quan trọng bên cạnh việc kiểm toán hợp đồng thông minh.
Term Finance trước đó cũng từng gặp một sự cố vận hành riêng vào ngày 26/4/2025, khi sai lệch thập phân của oracle kích hoạt các đợt thanh lý ngoài ý muốn tương đương khoảng 918 ETH. Giao thức sau đó thu hồi được khoảng 556 ETH, để lại khoản lỗ ròng 362 ETH (tương đương khoảng 650.000 USD) và cam kết bồi thường đầy đủ cho người dùng bị ảnh hưởng.
Bài tiếp theo: Bitcoin và vàng được xem là hàng rào trước khủng hoảng nợ Mỹ, Ray Dalio cảnh báo
