🚨 swETH/rswETH của Swell gặp sự cố: không phải token bị đánh cắp trực tiếp, mà là “tỷ giá” đã bị thao túng
Sáng nay, nhà nghiên cứu on-chain Spreek phát cảnh báo: các khóa liên quan đến quản trị của hai token staking thanh khoản swETH và rswETH thuộc Swell DAO có thể đã bị đánh cắp. Chính anh cũng đặt dấu hỏi, nghi ngờ sự việc có liên quan đến sự cố nền tảng đám mây Railway trong vài ngày qua. Hiện chưa có kết luận.
Tình hình hiện tại:
🔹 Kẻ tấn công đang đẩy NAV của hai token này (số ETH tương ứng với mỗi token) lên cao, tối đa 1% mỗi giờ, mà không có ETH thực sự làm tài sản bảo chứng
🔹 4 hợp đồng nâng cấp độc hại đã được triển khai on-chain. Theo Spreek, chúng vẫn chưa được đưa vào hàng chờ thực thi qua cơ chế đa chữ ký; nếu được thực thi, chúng có thể cuỗm đi khoảng 2.500 ETH
🔹 Có thông tin được dẫn lại rằng phía Swell cho biết hiện chưa có ETH nào rời khỏi hợp đồng
Theo tôi, điều đáng để người dùng thông thường chú ý nhất trong sự việc này là thủ đoạn “đẩy tỷ giá lên”.
Giá của token staking thanh khoản nhiều khi không do thị trường quyết định, mà phụ thuộc vào tỷ giá do oracle cung cấp. Khi tỷ giá bị đẩy lên một cách giả tạo, kẻ xấu có thể dùng swETH bị định giá quá cao làm tài sản thế chấp trên các giao thức cho vay để vay tiền thật, hoặc đổi lấy nhiều ETH hơn trong các pool. Bên chịu thiệt có thể không phải chính Swell, mà là tất cả những nơi định giá token này theo tỷ giá đó.
Một điểm đáng chú ý khác là cơ chế đa chữ ký. Hợp đồng độc hại đã được triển khai nhưng vẫn mắc kẹt trong quy trình đa chữ ký. Đây chính là lý do cơ chế đa chữ ký và khóa thời gian tồn tại: mất chìa khóa vẫn còn một cánh cửa cuối cùng. Bình thường chẳng mấy ai để ý dự án có khóa thời gian hay không, người ký được phân bố ra sao; nhưng khi có sự cố, đó có thể là ranh giới giữa sống và chết.
Nếu bạn đang nắm giữ swETH/rswETH hoặc LP liên quan:
🔹 Đừng vội “bắt đáy” khi thông tin còn nhiễu loạn; bản thân tỷ giá có thể là giả
🔹 Kiểm tra xem bạn có dùng chúng làm tài sản thế chấp trên giao thức cho vay nào không
🔹 Chỉ theo dõi thông báo từ tài khoản chính thức của Swell. Những lời mời “nhận bồi thường” hay “liên kết di chuyển tài sản” sau sự cố phần lớn đều là lừa đảo
Trong tuần này, từ lỗ hổng PHP, Railway đến GitLab, ngày càng nhiều rủi ro trong giới crypto bắt nguồn từ hạ tầng Web2. Token staking bạn đang nắm giữ có tỷ giá do ai cung cấp, và ai có thể thay đổi tỷ giá đó?
#Swell #流动性质押 #链上安全 #ETH
Sáng nay, nhà nghiên cứu on-chain Spreek phát cảnh báo: các khóa liên quan đến quản trị của hai token staking thanh khoản swETH và rswETH thuộc Swell DAO có thể đã bị đánh cắp. Chính anh cũng đặt dấu hỏi, nghi ngờ sự việc có liên quan đến sự cố nền tảng đám mây Railway trong vài ngày qua. Hiện chưa có kết luận.
Tình hình hiện tại:
🔹 Kẻ tấn công đang đẩy NAV của hai token này (số ETH tương ứng với mỗi token) lên cao, tối đa 1% mỗi giờ, mà không có ETH thực sự làm tài sản bảo chứng
🔹 4 hợp đồng nâng cấp độc hại đã được triển khai on-chain. Theo Spreek, chúng vẫn chưa được đưa vào hàng chờ thực thi qua cơ chế đa chữ ký; nếu được thực thi, chúng có thể cuỗm đi khoảng 2.500 ETH
🔹 Có thông tin được dẫn lại rằng phía Swell cho biết hiện chưa có ETH nào rời khỏi hợp đồng
Theo tôi, điều đáng để người dùng thông thường chú ý nhất trong sự việc này là thủ đoạn “đẩy tỷ giá lên”.
Giá của token staking thanh khoản nhiều khi không do thị trường quyết định, mà phụ thuộc vào tỷ giá do oracle cung cấp. Khi tỷ giá bị đẩy lên một cách giả tạo, kẻ xấu có thể dùng swETH bị định giá quá cao làm tài sản thế chấp trên các giao thức cho vay để vay tiền thật, hoặc đổi lấy nhiều ETH hơn trong các pool. Bên chịu thiệt có thể không phải chính Swell, mà là tất cả những nơi định giá token này theo tỷ giá đó.
Một điểm đáng chú ý khác là cơ chế đa chữ ký. Hợp đồng độc hại đã được triển khai nhưng vẫn mắc kẹt trong quy trình đa chữ ký. Đây chính là lý do cơ chế đa chữ ký và khóa thời gian tồn tại: mất chìa khóa vẫn còn một cánh cửa cuối cùng. Bình thường chẳng mấy ai để ý dự án có khóa thời gian hay không, người ký được phân bố ra sao; nhưng khi có sự cố, đó có thể là ranh giới giữa sống và chết.
Nếu bạn đang nắm giữ swETH/rswETH hoặc LP liên quan:
🔹 Đừng vội “bắt đáy” khi thông tin còn nhiễu loạn; bản thân tỷ giá có thể là giả
🔹 Kiểm tra xem bạn có dùng chúng làm tài sản thế chấp trên giao thức cho vay nào không
🔹 Chỉ theo dõi thông báo từ tài khoản chính thức của Swell. Những lời mời “nhận bồi thường” hay “liên kết di chuyển tài sản” sau sự cố phần lớn đều là lừa đảo
Trong tuần này, từ lỗ hổng PHP, Railway đến GitLab, ngày càng nhiều rủi ro trong giới crypto bắt nguồn từ hạ tầng Web2. Token staking bạn đang nắm giữ có tỷ giá do ai cung cấp, và ai có thể thay đổi tỷ giá đó?
#Swell #流动性质押 #链上安全 #ETH