Một hacker đã phát hiện ra một lỗ hổng trong giao thức tài chính phi tập trung (DeFi) của Resupply vào sáng thứ Năm, giúp họ rút gần 9,6 triệu đô la tài sản kỹ thuật số. Kẻ tấn công được cho là đã thao túng giá token thông qua một lỗ hổng hợp đồng thông minh.

Theo các nhà phân tích an ninh blockchain, Resupply, một nền tảng stablecoin DeFi được tích hợp với Convex Finance và Yearn Finance, là mục tiêu chính của vụ khai thác. Kẻ tấn công đã sử dụng một chiến thuật thao túng giá tinh vi trên cvcrvUSD, một token liên kết với Convex, để lừa dối hệ thống và thu được khoản vay bằng tài sản thế chấp gần như vô giá trị.

Lỗi hợp đồng thông minh dẫn đến tỷ giá trao đổi bằng không

Điểm chính của vụ vi phạm được tìm thấy tại hợp đồng ResupplyPair, được triển khai vào thứ Năm tại địa chỉ Ethereum “0x6e…6bd6″. Hợp đồng sử dụng giá của cvcrvUSD để tính toán tỷ giá trao đổi nội bộ cho cho vay có thế chấp.

Một giao thức cho vay nữa đã bị khai thác qua việc thao túng tỷ giá trên các thị trường có thanh khoản thấp - thậm chí là trống rỗng!

Cụ thể, các kẻ tấn công đã tăng giá cổ phiếu #cvcrvUSD một cách giả tạo thông qua các khoản quyên góp. Hợp đồng ResupplyPair của @ResupplyFi (https://t.co/yo2N5lScHi, được tạo ra khoảng 2 giờ trước) sử dụng… https://t.co/MelEYFLr98 pic.twitter.com/2qXC9IiREL

— BlockSec Phalcon (@Phalcon_xyz) 26 tháng 6 năm 2025

Kẻ tấn công đã sử dụng sự phụ thuộc này bằng cách tăng giá token cvcrvUSD một cách giả tạo thông qua các giao dịch quyên góp phối hợp. Khi giá trị token tăng vọt, giá đầu vào trong hợp đồng ResupplyPair đã tăng lên.

Tuy nhiên, một lỗi trong mã của giao thức, cụ thể là việc sử dụng phép chia làm tròn, đã khiến tỷ giá trao đổi bị làm tròn xuống bằng không khi giá vượt qua một ngưỡng đã đo.

Với tỷ giá trao đổi được đặt bằng không, kẻ tấn công đã có thể vay một số lượng lớn stablecoin gốc của Resupply, reUSD, chỉ sử dụng 1 wei của cvcrvUSD làm tài sản thế chấp. Các kiểm tra khả năng thanh toán của nền tảng, dựa vào tỷ giá trao đổi này, đã bị bỏ qua hiệu quả.

“Kẻ tấn công đã thao túng giá token, kích hoạt một lỗi (tỷ giá trao đổi bằng không) trong hợp đồng thông minh của Resupply, cho phép họ vay được một số tiền lớn với gần như không tốn kém,” Hakan Unal, trưởng bộ phận an ninh tại công ty rủi ro blockchain Cyvers giải thích.

Tornado Cash được sử dụng để bảo mật giao dịch

Hoạt động blockchain cho thấy hacker ban đầu đã tài trợ cho ví của họ thông qua Tornado Cash, một giao thức trộn tiền phi tập trung mà tội phạm sử dụng để ẩn nguồn gốc của các quỹ. Điểm khởi đầu của cuộc tấn công là một giao dịch trên Cow Swap liên quan đến 2 ETH, theo phân tích của công ty bảo mật blockchain PeckShield.

Sau vụ vi phạm, họ đã thanh lý các tài sản bị đánh cắp bằng cách chuyển đổi reUSD sang stablecoin và Ethereum thông qua Curve và Uniswap, cả hai đều là các sàn giao dịch phi tập trung.

Số lợi nhuận 9,6 triệu đô la đã được chia thành hai địa chỉ Ethereum riêng biệt. Kẻ tấn công đã sử dụng cả USDC và Ethereum bọc (wETH) để lưu trữ số tiền cuối cùng.

Sau đó trong ngày, Resupply xác nhận vụ vi phạm và thừa nhận rằng lỗ hổng đã ảnh hưởng đến thị trường wstUSR của mình. Nền tảng ngay lập tức tạm dừng tất cả các hợp đồng để ngăn chặn thiệt hại thêm.

“Người dùng nên tránh các kho reUSD và rút tiền nếu có thể,” Unal khuyên các nhà đầu tư sử dụng giao thức này.

Các cuộc tấn công liên quan đến tiền điện tử vào năm 2025 trở nên tràn lan

Vụ vi phạm Resupply thêm vào chuỗi các cuộc tấn công có giá trị cao nhắm vào cả tài chính phi tập trung và các nền tảng tập trung. Công ty khám phá blockchain Chainalysis báo cáo rằng hơn 2,3 tỷ đô la đã bị đánh cắp trong các cuộc tấn công tiền điện tử kể từ đầu năm 2025, một con số vượt quá tổng số của năm ngoái vào giữa năm.

Chỉ vài ngày trước sự cố Resupply, vào ngày 18 tháng 6, sàn giao dịch tiền điện tử Nobitex có trụ sở tại Iran đã chịu một vụ vi phạm thảm khốc. Hacker đã lấy đi hơn 90 triệu đô la tài sản kỹ thuật số từ nhiều blockchain, bao gồm Bitcoin, Ethereum, Dogecoin, Ripple, Solana, Tron và Ton.

Các cuộc điều tra trước đó đã liên kết các ví trên Nobitex với các tác nhân liên quan đến Lực lượng Vệ binh Cách mạng Hồi giáo (IRGC), và các mạng lưới liên kết với các phần tử Houthi ở Yemen và các hoạt động của Hamas.

Cơ quan Quốc gia chống Tài trợ Khủng bố (NBCTF) của Israel đã xác định nền tảng này là một kênh chuyển tiền đến nhiều thực thể bị trừng phạt. Những thực thể này bao gồm phương tiện truyền thông ủng hộ Hamas Gaza Now, một nhánh tuyên truyền bị cáo buộc của al-Qaeda, và các sàn giao dịch tiền điện tử của Nga được trừng phạt Garantex và Bitpapa.

Học viện Cryptopolitan: Bạn muốn tăng trưởng tài sản của mình vào năm 2025? Hãy tìm hiểu cách làm điều đó với DeFi trong lớp học trực tuyến sắp tới của chúng tôi. Đặt chỗ ngay