10 Lỗ Hổng Hợp Đồng Thông Minh Tàn Phá Nhất Trong Lịch Sử Tiền Điện Tử Là Gì?

Cuộc tấn công Bybit $14 tỷ đã phơi bày những lỗ hổng UI nghiêm trọng

Vào tháng 2 năm 2025, Bybit đã trải qua một trong những vụ vi phạm an ninh tàn khốc nhất trong lịch sử tiền điện tử, với việc hacker đã đánh cắp khoảng 1,4 tỷ đô la giá trị của Ethereum. Cuộc tấn công tinh vi này đã khai thác những lỗ hổng nghiêm trọng trong giao diện người dùng của Safe{Wallet}, một giải pháp ví đa chữ ký được sử dụng rộng rãi trong ngành. Những kẻ tấn công, được cho là nhóm Lazarus của Bắc Triều Tiên, đã xâm phạm giao diện Safe{Wallet} được sử dụng bởi các nhà điều hành ví lạnh của Bybit.

Phương pháp tấn công đã tiết lộ những điểm yếu đáng lo ngại trong những giao thức bảo mật trước đây được coi là vững chắc. Khi các người ký ủy quyền của Bybit đăng nhập để phê duyệt những giao dịch có vẻ như là thông thường, giao diện người dùng bị xâm phạm đã thay đổi dữ liệu theo thời gian thực, đánh lừa các người ký phê duyệt một hợp đồng độc hại mà hiệu quả đã trao quyền kiểm soát ví của họ cho những kẻ tấn công.

| Các Thành Phần Tấn Công | Chi Tiết | |------------------|---------| | Hệ thống mục tiêu | Giao diện đa chữ ký Safe{Wallet} | | Lỗ hổng | Manipulasi dữ liệu UI theo thời gian thực | | Phương pháp | Thay thế chữ ký bằng hợp đồng độc hại | | Tài sản bị đánh cắp | 401,347 ETH ($1.4 tỷ) | | Phân phối | 53 địa chỉ ví khác nhau |

Sau khi xảy ra sự cố, Bybit đã đảm bảo một khoản vay cầu nối bao phủ 80% số tiền bị đánh cắp. Sự kiện này đã thúc đẩy việc nâng cấp bảo mật đáng kể cho nền tảng Safe{Wallet}, bao gồm các kiểm soát xác minh mới để đảm bảo chữ ký khớp với các giao dịch được đề xuất trước khi thực hiện.

39 nhà xác thực Ethereum bị phạt do thất bại trong hoạt động

Vào ngày 10 tháng 9 năm 2025, Ethereum đã trải qua một trong những sự kiện slashing phối hợp lớn nhất kể từ khi chuyển sang proof-of-stake vào năm 2022. Tổng cộng có 39 validator kết nối với Mạng SSV đã bị phạt do lỗi hoạt động. Sự cố hiếm hoi này làm nổi bật những rủi ro tiềm ẩn liên quan đến việc quản lý validator kém trong hệ sinh thái staking ngày càng đông đúc.

Việc cắt giảm không mang tính chất ác ý hay liên quan đến giao thức của Ethereum mà chủ yếu xuất phát từ những lỗi của nhà điều hành trong công nghệ xác thực phân tán (DVT). Mỗi xác thực viên bị ảnh hưởng đã mất khoảng 0,3 ETH trong các khoản phạt, tổng cộng thiệt hại vượt quá 52.000 đô la.

| Bối cảnh cắt giảm | Dữ liệu | |------------------|------| | Các trình xác thực bị ảnh hưởng | 39 | | Thiệt hại cá nhân | ~0.3 ETH | | Tổng số validator | 1.2 triệu+ | | Bối cảnh lịch sử | <500 validator đã bị cắt giảm kể từ năm 2020 |

Mạng SSV, mà phân quyền hạ tầng staking bằng cách chia sẻ khóa xác thực giữa nhiều nhà điều hành, đã gặp phải sự cố gây ra việc thiết lập xác thực trùng lặp, làm gia tăng tổn thất. Sự cố này nhấn mạnh tầm quan trọng quyết định của sự xuất sắc trong vận hành quản lý xác thực, đặc biệt khi hệ sinh thái staking của Ethereum tiếp tục phát triển. Mặc dù gặp phải trở ngại này, tỷ lệ bị phạt tổng thể vẫn rất thấp, với chưa đến 500 xác thực bị phạt trong số 1,2 triệu kể từ khi Beacon Chain ra mắt vào năm 2020.

Hơn 1,6 triệu ETH bị ảnh hưởng bởi việc thoát validator hàng loạt của Kiln

Mạng lưới Ethereum hiện đang trải qua một sự xáo trộn lớn khi Kiln, một nhà cung cấp staking chính, đã khởi động việc rút hơn 1,6 triệu ETH khỏi blockchain. Sự ra đi của các validator khổng lồ này chiếm khoảng 4,5% tổng số Ethereum đã được staking, với số ETH đã rút có giá trị hơn $690 triệu. Việc rút tiền được kích hoạt bởi những lo ngại về an ninh liên quan đến hạ tầng của Kiln sau một sự cố liên quan với các tài sản Solana đã staking của SwissBorg, dẫn đến thiệt hại $40 triệu.

Theo tuyên bố chính thức của Kiln, việc rút lui này là một "biện pháp phòng ngừa nhằm đảm bảo tính toàn vẹn liên tục của các tài sản đã được staking." Quá trình này đang được tiến hành một cách có trật tự theo các quy tắc giao thức của Ethereum, với thời gian hoàn thành dự kiến khác nhau tùy theo vị trí của các validator.

| Khía cạnh | Chi tiết | |--------|---------| | Tổng ETH đang được rút | 1.6 triệu ETH | | Giá trị ước tính | $690+ triệu | | Tỷ lệ của tất cả ETH đã được stake | 4.5% | | Thời gian dự kiến rời khỏi | 10-30 ngày |

Cuộc rút vốn ồ ạt đã khiến hàng đợi rút tiền của các validator Ethereum tăng lên đáng kể, với tổng hàng đợi hiện chứa khoảng $11.3 tỷ giá trị ETH và đạt thời gian chờ kỷ lục là 44 ngày. Sự tắc nghẽn chưa từng có này đặt ra câu hỏi về an ninh và sự ổn định của mạng lưới trong các sự kiện rút vốn quy mô lớn, đặc biệt khi sự mong đợi gia tăng xung quanh các quỹ ETF ETH đã được stake có thể đưa thêm 4.7 triệu mã thông báo Ethereum vào hàng đợi của các validator khi được phê duyệt.