Nền tảng vay phi tập trung Venus Protocol ngày Chủ nhật đã thông báo rằng đã phát hiện hoạt động giao dịch bất thường liên quan đến quỹ token Thena (THE) trong bể chính. Theo cuộc điều tra mới nhất của đối tác quản lý rủi ro của Venus là Allez Labs, vụ việc này là một cuộc tấn công thao túng giới hạn cung có chủ đích, kéo dài khoảng 9 tháng từ khi lên kế hoạch đến thực thi, gây thiệt hại hơn 3,7 triệu USD.
Phân tích toàn diện quá trình tấn công: bốn giai đoạn được lên kế hoạch kỹ lưỡng
Cuộc điều tra của Allez Labs đã tiết lộ toàn bộ logic hoạt động của vụ tấn công, chia thành bốn giai đoạn chính:
Giai đoạn 1: Tích trữ token chậm trong 9 tháng, bắt đầu từ tháng 6 năm 2025, kẻ tấn công từ từ tích lũy token THE, cuối cùng chiếm 84% giới hạn cung, khoảng 14,5 triệu token. Chiến thuật này giúp tránh kích hoạt cảnh báo rủi ro của nền tảng.
Giai đoạn 2: Chuyển khoản trực tiếp vượt qua giới hạn cung, kẻ tấn công không sử dụng quy trình gửi tiền bình thường mà trực tiếp chuyển token vào hợp đồng của giao thức, hoàn toàn bỏ qua cơ chế giới hạn cung, cuối cùng tạo ra vị thế 53,2 triệu THE, gấp 3,67 lần giới hạn cung.
Giai đoạn 3: Thao túng oracle TWAP, lợi dụng điểm yếu cấu trúc của token THE có tính thanh khoản rất thấp trên chuỗi, kẻ tấn công thực hiện thao tác lặp đi lặp lại để điều chỉnh giá TWAP (giá trung bình theo trọng số thời gian), đẩy giá THE từ khoảng 0,27 USD lên khoảng 0,53 USD.
Giai đoạn 4: Sử dụng giá trị thế chấp giả cao để vay mượn lượng lớn tài sản thanh khoản cao, dựa trên giá trị thế chấp bị đẩy lên nhân tạo, kẻ tấn công đã dùng 53,2 triệu THE làm tài sản thế chấp để vay nhiều loại tài sản có tính thanh khoản cao khác.
Chi tiết tài sản bị đánh cắp và các biện pháp ứng phó khẩn cấp của nền tảng
Trong thời điểm đỉnh điểm, kẻ tấn công đã vay mượn các tài sản sau:
- 6.670.000 token CAKE (token gốc của PancakeSwap)
- 2.801 token BNB (token gốc của BNB Chain)
- 1.970 token WBNB
- 1.580.000 USDC
- 20 BTCB (Bitcoin token hóa)
Venus Protocol đã ngay lập tức tạm dừng tất cả hoạt động vay và rút token THE, đồng thời để phòng ngừa, tạm thời ngưng các hoạt động vay và rút trong các thị trường có tính thanh khoản cao tập trung như BCH, LTC, UNI, AAVE, FIL và TWT. Các thị trường khác vẫn hoạt động bình thường.
Những bài học sâu sắc về rủi ro an ninh: tính dễ tổn thương hệ thống của token thanh khoản thấp
Vụ tấn công của Venus Protocol đã phơi bày nhiều rủi ro hệ thống trong các giao thức cho vay DeFi: oracle TWAP của token thanh khoản thấp rất dễ bị thao túng bằng các thao tác nhỏ; cơ chế giới hạn cung nếu không phòng ngừa chuyển khoản trực tiếp qua hợp đồng sẽ tồn tại lỗ hổng kỹ thuật có thể bị vượt qua; chiến lược tích trữ chậm kéo dài gần 9 tháng cũng cho thấy các điểm mù tiềm năng trong khả năng giám sát hành vi nắm giữ dài hạn của các giao thức.
Các câu hỏi thường gặp
Venus Protocol “tấn công giới hạn cung” là gì?
Giới hạn cung là cơ chế an toàn của hợp đồng nhằm giới hạn lượng tài sản tối đa có thể dùng làm tài sản thế chấp của một loại tài sản nhất định. Trong vụ này, kẻ tấn công đã vượt qua giới hạn này bằng cách chuyển trực tiếp vào hợp đồng, khiến lượng nắm giữ đạt 3,67 lần giới hạn, rồi dùng thao tác thao túng oracle để nhân đôi giá trị thế chấp, vay mượn vượt quá hạn mức tín dụng hợp lệ.
Tại sao vụ tấn công này có thể diễn ra trong thời gian dài mà không bị phát hiện?
Kẻ tấn công đã sử dụng chiến lược tích trữ “Low and Slow” (ít và chậm) kéo dài tới 9 tháng, giữ lượng nắm giữ trong mức không gây cảnh báo, đến khi tích lũy đủ 84% giới hạn cung mới thực hiện tấn công. Phương pháp này là cách phổ biến để vượt qua các cơ chế giám sát dựa trên ngưỡng, cho thấy các giao thức cần nâng cao khả năng giám sát hành vi dài hạn.
Venus Protocol đã thực hiện các biện pháp ứng phó khẩn cấp nào?
Venus Protocol đã ngay lập tức tạm dừng toàn bộ hoạt động vay và rút token THE, đồng thời phòng ngừa bằng cách tạm thời ngưng các hoạt động liên quan đến các thị trường có tính thanh khoản cao như BCH, LTC, UNI, AAVE, FIL và TWT. Các thị trường khác vẫn hoạt động bình thường. Đối tác an ninh của Allez Labs đang tiếp tục điều tra và cập nhật tiến trình.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Kế hoạch phòng thủ lượng tử của Bitcoin theo BIP-361 vấp chỉ trích vì khoảng trống khôi phục 1,7M BTC
Các nhà phát triển Bitcoin đang làm việc trên BIP-361 để bảo vệ trước các mối đe dọa từ điện toán lượng tử bằng cách chuyển quỹ sang các định dạng an toàn hơn, có khả năng đóng băng 1,7 triệu BTC. Charles Hoskinson chỉ trích kế hoạch này, cho rằng nó có thể dẫn đến việc đóng băng vĩnh viễn các đồng tiền dễ tổn thương. Cuộc tranh luận nêu bật những căng thẳng trong việc thích nghi với các giao thức của Bitcoin.
GateNews44phút trước
Tether rót 150 triệu đô la để cứu Drift Protocol, còn Circle thì bị kiện tập thể vì sơ suất
Drift Protocol phải chịu khoản lỗ $280 triệu đô la do bị hack, khiến Tether khởi động kế hoạch phục hồi trị giá $150 triệu đô la, chuyển tài sản thanh toán sang USDT. Trong khi đó, Circle đang đối mặt với một vụ kiện vì không đóng băng kịp thời các khoản tiền bị đánh cắp, qua đó làm nổi bật sự mơ hồ về quy định trong ngành crypto.
ChainNewsAbmedia1giờ trước
Circle Đối mặt Vụ kiện Tập thể Liên quan đến Phản hồi trước Lỗ hổng $280M Drift Protocol
Circle Internet Group đang phải đối mặt với một vụ kiện tập thể do không nhanh chóng dừng một lỗ hổng $280 triệu liên quan đến Giao thức Chuyển tiền Liên chuỗi (Cross-Chain Transfer Protocol) của họ, khi các nhà đầu tư cho rằng công ty có thể đã can thiệp. Vụ kiện làm nổi bật khả năng trước đây của Circle trong việc phong tỏa quỹ, qua đó đặt ra câu hỏi về mức độ phản hồi của họ.
GateNews1giờ trước
Quỹ Ethereum: Chương trình Ketman xác định 100 đặc vụ Triều Tiên trong 6 tháng
Dựa trên báo cáo hồi cứu của chương trình ETH Rangers do Quỹ Ethereum công bố vào ngày 17 tháng 4 năm 2026 (thứ Năm), trong thời gian tài trợ kéo dài 6 tháng, chương trình Ketman được Quỹ Ethereum tài trợ đã xác định 100 nhân viên IT Triều Tiên thâm nhập các tổ chức Web3 bằng danh tính giả, đồng thời liên hệ khoảng 53 dự án mã hóa, cảnh báo rằng có thể họ đã thuê các đặc vụ Triều Tiên đang hoạt động.
MarketWhisper1giờ trước
Sàn giao dịch tiền mã hóa Kyrgyzstan Grinex bị dính $15M Hack, lộ mạng lưới né tránh trừng phạt của Nga
Một cuộc tấn công mạng nhắm vào sàn giao dịch tiền mã hóa Grinex tại Kyrgyzstan đã lộ ra một mạng lưới bị cáo buộc hỗ trợ Nga né lệnh trừng phạt. Tin tặc đã đánh cắp $15 triệu, nhắm vào Grinex và TokenSpot được liên kết. Grinex, được xem như sự tiếp nối của Garantex vốn bị trừng phạt, đang bị soi xét vì đã tạo điều kiện cho các giao dịch liên quan đến các tổ chức chịu trừng phạt.
GateNews2giờ trước
Polymarket Kiểm toán Các Startup trong Chương trình Builders vì Lo ngại Giao dịch Nội gián - Unchained
Polymarket đã khởi xướng một cuộc kiểm toán Chương trình Builders của mình sau khi phát hiện các công cụ bên thứ ba có thể tạo điều kiện cho giao dịch nội gián bằng cách bắt chước các lệnh giao dịch thành công. Việc rà soát diễn ra sau sự soi xét liên quan đến khả năng thao túng thị trường gắn với các ứng dụng này.
UnchainedCrypto3giờ trước
