INK Finance do lỗ 140.000 USD do lỗ vượt qua danh sách đen

Viết bài: Muriuki Lazaro, AMB Crypto

INK Finance là một giao thức hạ tầng quản lý kho bạc và không gian làm việc dành cho DeFi được triển khai trên Polygon, gần đây đã gặp phải một cuộc tấn công lỗ hổng ủy quyền nghiêm trọng.

Kẻ tấn công lợi dụng các điểm yếu trong logic xác thực kho bạc của nền tảng, cuối cùng đã chuyển đi khoảng 140.000 USD tiền vốn.

Điểm mấu chốt của cuộc tấn công này là một hợp đồng claimer giả mạo đã thành công giả danh một thực thể trong danh sách trắng đã được phê duyệt trong hệ thống kho bạc.

Do sự lách luật này, kẻ tấn công đã có thể vượt qua kiểm tra tư cách và kích hoạt một giao dịch chuyển khoản kho bạc “được phép” mà không bị hạn chế ngay lập tức.

Trong khi đó, kẻ tấn công còn nhanh chóng tận dụng một khoản vay flash khoảng 25.000 USD từ Balancer V2 qua Railgun để đẩy nhanh tốc độ thực thi khai thác lỗ hổng.

Dòng tiền này cũng làm nổi bật rằng, khi hạ tầng DeFi ngày càng liên kết chặt chẽ hơn, sự phối hợp giữa các hệ thống thanh khoản đang nâng cao hiệu quả thực thi các cuộc tấn công.

Bài báo chỉ ra rằng, kẻ tấn công không nhắm vào các lớp mã hóa cao cấp, mà lợi dụng vấn đề niềm tin vận hành xung quanh quyền hạn trong danh sách trắng, điều này một lần nữa làm dấy lên mối lo ngại của cộng đồng về thiết kế ủy quyền yếu trong kiến trúc kho bạc.

Hệ thống ủy quyền kho bạc đang trở thành điểm yếu của DeFi

Sự kiện lỗ hổng kho bạc lần này phản ánh rằng, các mặt tấn công của DeFi đang có những thay đổi rộng hơn: khi hạ tầng phức tạp hơn, kẻ tấn công không còn chỉ tập trung vào các bể thanh khoản hoặc hệ thống định giá, mà ngày càng nhắm vào các lớp ủy quyền kho bạc có quyền cao, nắm giữ quỹ dự trữ của giao thức.

Sự kiện của INK Finance cũng cho thấy rằng, kẻ tấn công đang sử dụng các phương pháp tấn công chi phí thấp, độ chính xác cao nhằm vào hệ thống ủy quyền kho bạc.

Xu hướng này cho thấy, các phương pháp tấn công hiện đại ngày càng chú trọng vào việc nâng cao quyền hạn, chứ không chỉ đơn thuần thao túng thanh khoản quy mô lớn hơn.

Trong khi đó, các sự kiện liên quan đến danh sách trắng và kiểm soát truy cập tương tự vẫn liên tục gia tăng trong hệ thống kho bạc DAO năm 2026, liên tục phơi bày những điểm yếu trong xác thực vận hành của hạ tầng DeFi trong quá trình mở rộng.

Tuy nhiên, những thiếu sót về ủy quyền này cũng cho thấy rằng, tài chính phi tập trung vẫn còn tụt hậu so với tốc độ phát triển của hạ tầng và quy mô vốn trong vấn đề an toàn vận hành.

Các cuộc tấn công nhỏ cũng đang làm giảm lòng tin vào DeFi

Ngày càng nhiều các vụ tấn công nhằm vào hệ thống ủy quyền kho bạc đang dần làm suy yếu niềm tin của thị trường vào toàn bộ hạ tầng DeFi.

Mặc dù số tiền mất mát trong lần này của INK Finance không quá lớn, nhưng sự kiện vẫn nhanh chóng xuất hiện trên bảng điều khiển an ninh và hệ thống giám sát chuỗi.

Tính minh bạch này quan trọng vì người dùng thường xem các vụ việc nhỏ lặp đi lặp lại về an ninh như là tín hiệu cho thấy hạ tầng nền tảng của hệ sinh thái vẫn còn dễ tổn thương.

Bài báo còn đề cập rằng, các sự kiện tương tự như SmartCredit, Sharwa và Quant cũng liên tục lặp lại, làm tăng thêm mối lo ngại về kỷ luật an toàn vận hành yếu kém.

Sự kiện này cho thấy, dù thiệt hại kinh tế trực tiếp hạn chế, các cuộc tấn công nhỏ vẫn có thể gây ra ảnh hưởng không cân xứng đến thị trường, vì các thất bại liên tục trong ủy quyền sẽ dần làm giảm lòng tin của người dùng, làm chậm tốc độ phân bổ vốn, và nâng cao cảnh giác rủi ro trong toàn bộ hệ thống liên kết.

Tuy nhiên, nhiều lỗ hổng như vậy vẫn bắt nguồn từ các vấn đề về cấu hình quyền hạn có thể tránh khỏi, chứ không phải do các thất bại kỹ thuật cực kỳ phức tạp.

Nói một cách đơn giản, mức độ trưởng thành của an toàn vận hành vẫn còn tụt hậu so với sự phát triển của độ phức tạp hạ tầng.

Tóm tắt ngắn gọn

INK Finance vì kẻ tấn công giả mạo hợp đồng claimer để vượt qua xác thực danh sách trắng, gây thiệt hại khoảng 14.000 USD.

Các cuộc tấn công nhỏ lặp đi lặp lại nhằm vào hệ thống ủy quyền DeFi đang liên tục làm giảm lòng tin của người dùng vào hạ tầng ngành.