Một kẻ tấn công đã rút sạch hơn 9 triệu USD khỏi các pool thanh khoản trên XPR Network (XPR) chỉ trong 11 phút, bằng cách khai thác một hợp đồng hoán đổi cho phép nhập giá trị rút tiền âm.
Các điểm chính:
- Kẻ tấn công rút hơn 9 triệu USD khỏi các pool thanh khoản XPR Network trong khoảng 11 phút.
- Lỗi nằm ở hàm rút tiền cho phép giá trị âm, giúp kẻ tấn công bơm phồng số dư nội bộ trước khi đổi lấy token thật.
- Các block producer đã vá hợp đồng và tịch thu khoảng 1,80 tỷ XPR, giữ phần lớn lượng token bị đánh cắp lại trên chuỗi.
Cú khai thác hợp đồng hoán đổi trên XPR Network
Cuộc tấn công nhắm vào proton.swaps, hợp đồng hoán đổi on-chain của mạng, nơi kẻ tấn công rút khoảng 1,56 tỷ XPR, tương đương khoảng 4,03 triệu USD. Hàm rút tiền của hợp đồng này chấp nhận giá trị âm, cho phép kẻ tấn công thổi phồng một số dư nội bộ rồi dùng nó làm “vỏ bọc” để rút token thật. Thủ thuật này được lặp lại trên các pool stablecoin, tài sản bắc cầu và các pool cho vay, đẩy tổng thiệt hại vượt mốc 9 triệu USD.
Khoảng 563 triệu XPR, trị giá chừng 1,46 triệu USD, sau đó được luân chuyển qua giao thức cho vay khi kẻ tấn công vay mượn dựa trên lượng stablecoin đánh cắp, nâng tổng số token bị ảnh hưởng lên khoảng 2,12 tỷ XPR, tương đương 6,5% nguồn cung lưu hành. Thêm 764 triệu XPR, gần 2 triệu USD, tiếp tục được chuyển sang một tài khoản thứ hai.
Bài viết liên quan: ETF XRP lập kỷ lục 1,7 tỷ USD bất chấp chuỗi tăng giá đứt đoạn
Giá XPR xuyên thủng vùng hỗ trợ
Áp lực bán lan ra thị trường chỉ trong vài giờ. XPR trượt về quanh 0,0026 USD vào Chủ nhật, giảm khoảng 5,6% trong 24 giờ sau khi chạm đáy gần 0,00245 USD, và duy trì dưới vùng 0,00271 USD – mức từng đóng vai trò hỗ trợ. Trước đó trong cùng phiên, token này từng lên tới khoảng 0,00277 USD, nhưng vốn hóa thị trường đã lùi về quanh 74 triệu USD.
RSI rơi xuống 27,47, sâu trong vùng quá bán. Chỉ báo này cho thấy lực bán một chiều áp đảo hơn là một quá trình định giá lại có trật tự, trong khi khối lượng giao dịch khoảng 2,9 triệu USD trong ngày cho thấy bên mua khá mỏng.
Xét về giá trị tuyệt đối, thiệt hại của XPR Network vẫn nhỏ so với những vụ mất mát DeFi lớn nhất năm nay. Tuy nhiên, cách thức sự cố xảy ra lại đáng lo hơn nhiều: chỉ một bước kiểm tra đầu vào bị bỏ qua đã cho phép thiệt hại lan rộng từ một hợp đồng hoán đổi sang các pool cho vay và tài sản bắc cầu dùng chung thanh khoản. Kẻ tấn công không cần flash loan hay thao túng oracle – chỉ cần một dấu trừ mà hợp đồng không hề chặn lại.
Metallicus đóng băng số XPR bị đánh cắp
Các block producer đã vá hợp đồng vào lúc 21:32 UTC và khoảng hai giờ sau đó tịch thu gần 1,80 tỷ XPR, đưa số token này vào quyền kiểm soát của cộng đồng. Chỉ 319,5 triệu XPR trên tổng số 2,12 tỷ token bị ảnh hưởng là thực sự thoát ra khỏi mạng và đến các nền tảng bên ngoài.
Do đó, phần lớn nguồn cung bị ảnh hưởng vẫn có khả năng được thu hồi – kịch bản chỉ khả thi vì XPR Network vận hành theo cơ chế bằng chứng cổ phần ủy quyền (delegated proof-of-stake), nơi một nhóm nhỏ producer được bầu chọn có thể can thiệp trực tiếp vào trạng thái chuỗi. Mạng lưới này cũng từng phải sử dụng “đòn bẩy” đó trước đây.
Metallicus, đơn vị phát triển cốt lõi đứng sau XPR Network, từng thông báo về một vụ khai thác tái nhập (re-entrancy) nhắm vào hợp đồng cho vay vào tháng 9/2024, buộc nền tảng phải dừng nạp tiền, cho vay và thanh lý, đóng băng số vốn bị ảnh hưởng, sau đó mở lại hoạt động cho vay theo từng giai đoạn trong tháng kế tiếp.
Đọc tiếp: Sam Altman loại trừ khả năng IPO OpenAI năm 2026, viện dẫn lý do an toàn AI
