Hôm thứ Tư, một hacker đã rút khoảng 86.000 USD từ pool vesting token dùng chung của UNCX Network trên Ethereum, lấy đi số token mà các dự án khác đã khóa. Công ty bảo mật Blockaid cho biết cuộc tấn công vẫn đang diễn ra.
UNCX, trước đây có tên là UniCrypt, cung cấp cho các dự án tiền mã hóa cách khóa token của chính họ để người nội bộ không thể bán sớm. Các hợp đồng của nền tảng này nắm giữ khoảng 179,7 triệu USD trên nhiều blockchain, trong đó có 111,4 triệu USD trên Ethereum.
Kẻ tấn công đã rút token thuộc về người khác bằng cách nào?
Blockaid cho biết khoản thất thoát xảy ra thông qua một giao dịch rút cạn duy nhất. Token bị khóa của nhiều dự án được lưu chung trong cùng một pool.
Kẻ tấn công trước tiên đã mở một số vị thế vesting tại đó. Vị thế vesting là một suất chứa token và giải phóng chúng theo lịch định sẵn.
Tiếp đó, kẻ tấn công mở khóa một vị thế lớn và chuyển thêm token vào pool. Sau đó, họ hủy một vị thế đã được nạp thêm token.
Động thái đó để lại một vị thế dư rất nhỏ. Theo Blockaid, suất nhỏ này sau đó có thể rút token thuộc sở hữu của những người dùng khác.
Hướng dẫn của chính UNCX mô tả token đã vesting là được khóa theo thời gian trong một hợp đồng đã kiểm toán.
“không thể gửi, bán, thêm vào thanh khoản hoặc đem đi staking”, trích đoạn trong hướng dẫn viết.
Blockaid nêu tên hai ví của kẻ khai thác. Etherscan cho thấy một trong số đó đang nắm giữ khoảng 5.874 USD qua tám giao dịch.
🚨 Blockaid phát hiện một vụ khai thác đang diễn ra nhắm vào @UNCX_token trên ethereum. Đến nay, khoảng 86.000 USD đã bị rút khỏi pool vesting dùng chung chỉ trong 1 giao dịch rút tiền. Cuộc tấn công vẫn đang tiếp diễn. 🧵
— Blockaid (@blockaid_) ngày 14 tháng 10 năm 2026
Vì sao khoản thiệt hại 86.000 USD vẫn đáng lo ngại với các dự án nhỏ
Tính đến thời điểm bài viết được đăng, UNCX vẫn chưa đưa ra tuyên bố công khai nào về vụ khai thác UNCX.
Token của chính nền tảng hầu như không phản ứng. Theo dữ liệu của BeInCrypto, UNCX Network (UNCX) được giao dịch ở mức 24,80 USD, tăng 0,16% trong 24 giờ. Tổng giá trị thị trường của token này vào khoảng 905.000 USD.
Ngay cả những khoản thiệt hại nhỏ cũng có thể khiến một dự án sụp đổ. Sàn giao dịch phi tập trung Full Sail đã ngừng hoạt động sau vụ hack gây thiệt hại khoảng 91.000 USD vào tháng 8.
Mã hợp đồng cũ cũng bị tấn công. Tháng 9, Notional Finance mất 1,73 triệu USD do lỗi tràn số nguyên trong các hợp đồng cũ.
Các giao thức khóa token tồn tại để người mua có thể kiểm tra rằng người nội bộ không thể xả nguồn cung. Những câu hỏi còn bỏ ngỏ là dự án nào đã mất token và liệu UNCX có thể dừng pool trước khi có thêm tiền bị rút hay không.