Trong một trong những cuộc tấn công lớn nhất của năm, một nhà đầu tư nổi bật—được gọi là cá voi crypto—đã mất hơn 27 triệu đô la Mỹ trong tài sản kỹ thuật số sau khi một tin tặc kiểm soát một ví chữ ký đa (multisig). Sự cố này một lần nữa đã gây ra cuộc tranh luận về an ninh trong thế giới DeFi.
Một Chìa Khóa Đến Thảm Họa
Công ty bảo mật blockchain PeckShield đã báo cáo rằng kẻ tấn công đã xâm phạm một ví multisig 1-of-1—về cơ bản loại bỏ bất kỳ lợi ích nào của sự bảo vệ chữ ký đa. Sau khi có quyền truy cập vào khóa riêng, tin tặc đã bắt đầu hệ thống rút tiền.
Theo Etherscan, tổng cộng 27,3 triệu đô la đã bị đánh cắp, với số tiền được rửa tiền qua Tornado Cash theo lô 100 ETH. Tổng cộng, hacker đã gửi 4.100 ETH trị giá khoảng 12,6 triệu đô la qua công cụ bảo mật. Khoảng 2 triệu đô la tài sản thanh khoản vẫn còn trong ví của kẻ tấn công.
Kẻ hacker giữ tài sản thế chấp trên Aave
PeckShield và các nhà phân tích khác đã lưu ý rằng ví bị xâm phạm vẫn giữ một vị trí đòn bẩy lớn trên Aave, được hỗ trợ bởi khoảng 25 triệu đô la trong ETH, với số tiền vay là 12,3 triệu đô la trong DAI.
Kẻ hacker hoạt động từ địa chỉ 0x1fCf...367d23Ac, nơi nắm giữ Ether, Wrapped Ether, OKB, Trust Wallet Token, Bitfinex LEO, Fetch và các token Nexo. Họ đã chia 4.100 ETH bị đánh cắp thành 41 giao dịch 100 ETH mỗi giao dịch, tất cả đều được định tuyến qua Tornado Cash.
Nhà điều tra Specter tiết lộ lỗi thiết lập
Nhà điều tra trên chuỗi Specter đã công bố một thời gian biểu về vụ vi phạm, tiết lộ rằng ví được tạo ra vào ngày 11 tháng 4 năm 2025, lúc 07:48:11 như một hệ thống multisig 1-of-1. Chỉ sau 35 phút, vào lúc 08:23:23, đã xảy ra một dòng tiền khổng lồ từ địa chỉ ký chính.
Specter suy đoán rằng khóa riêng có thể đã bị xâm phạm trong quá trình thiết lập ví—hoặc thông qua một công cụ không an toàn hoặc do sự giúp đỡ từ một tác nhân độc hại.
Cá voi đã ở trong tình trạng thua lỗ
Theo nền tảng Onchainlens, cùng một ví đã chịu tổn thất vào tháng 5 sau khi rút hơn 2.500 ETH từ OKX và chuyển chúng đến Kiln Finance.
Đến tháng 7, cá voi đã đặt cược tổng cộng 9.918 ETH (trị giá 22,5 triệu đô la), chỉ kiếm được 105,5 ETH trong phần thưởng đặt cược. Trước cuộc tấn công gần đây, họ đã thua lỗ 4,26 triệu đô la.
Ví multisig không phải là không thể bị lỗi
Ví ký đa chữ ký thường được coi là an toàn hơn—thông thường được cấu hình là 2-of-3 hoặc 3-of-5, yêu cầu nhiều người ký để ủy quyền một giao dịch. Tuy nhiên, các thiết lập 1-of-1 loại bỏ lợi thế này, và việc xâm phạm một khóa duy nhất có thể dẫn đến mất mát tài sản hoàn toàn, như đã thể hiện trong sự cố này.
Các cuộc tấn công tương tự tiếp tục
Trong một trường hợp riêng biệt vào tháng 9, một nhà đầu tư không xác định đã mất hơn 3 triệu đô la sau khi vô tình chấp thuận một hợp đồng độc hại. Số tiền bị đánh cắp đã được chuyển đổi thành ETH và được định tuyến qua Tornado Cash.
Người sáng lập SlowMist Yu Xian sau đó giải thích rằng ví bị ảnh hưởng là một multisig Safe 2-of-4. Kẻ lừa đảo đã ngụy trang hợp đồng độc hại bằng cách sử dụng một địa chỉ có vẻ tương tự và đã khai thác chức năng Multi Send của Safe để che giấu sự chấp thuận trong một quy trình tiêu chuẩn.
“Sự chấp thuận bất thường này rất khó phát hiện vì nó không phải là một giao dịch tiêu chuẩn,” Xian viết trên X.
Kết luận: Công nghệ một mình là không đủ
Sự cố này chứng minh rằng ngay cả ví multisig cũng không phải là hoàn hảo—đặc biệt khi người dùng mắc phải những sai lầm nghiêm trọng trong thiết lập. Bảo vệ khóa hợp lý, công cụ đáng tin cậy và hiểu biết về cách hoạt động của hệ thống ví là quan trọng như chính công nghệ blockchain.
#CryptoSecurity , #ETH , #CryptoNews , #blockchain , #defi
Giữ một bước đi trước – theo dõi hồ sơ của chúng tôi và cập nhật mọi thông tin quan trọng trong thế giới tiền điện tử!
Thông báo:
,,Thông tin và quan điểm được trình bày trong bài viết này chỉ nhằm mục đích giáo dục và không nên được coi là lời khuyên đầu tư trong bất kỳ tình huống nào. Nội dung của các trang này không nên được coi là lời khuyên tài chính, đầu tư hoặc bất kỳ hình thức nào khác. Chúng tôi cảnh báo rằng đầu tư vào tiền điện tử có thể rủi ro và có thể dẫn đến tổn thất tài chính.