Tháng Năm DeFi không yên bình! Cầu nối chéo chuỗi Verus bị tấn công với số tiền 1158 triệu đô la, các vụ tấn công trong tháng đã tăng lên 13 vụ

Mạng lưới blockchain tập trung vào quyền riêng tư và phi tập trung Verus, cầu nối cross-chain của Ethereum đang gặp phải cuộc tấn công của hacker, hiện đã thiệt hại khoảng 11,58 triệu USD, trước sự cố của Verus, đã có 12 dự án DeFi bị tấn công trong tháng 5.

Cầu nối cross-chain của Verus bị hacker tấn công, thiệt hại hơn 11,58 triệu đô la

Mạng lưới blockchain tập trung vào quyền riêng tư và phi tập trung Verus, cầu nối cross-chain của Ethereum đang gặp phải cuộc tấn công của hacker, hiện đã thiệt hại khoảng 11,58 triệu USD, chính thức chưa có phản hồi nào từ phía công ty hoặc truyền thông.

Theo điều tra của các công ty an ninh mạng PsaShield và Blockaid, dữ liệu trên chuỗi cho thấy, kẻ tấn công đã rút sạch 103,6 tBTC, 1.625 ETH và 140.700 USDC từ cầu nối cross-chain, sau đó quy đổi toàn bộ số tài sản bị đánh cắp thành 5.402 ETH.

Nguồn hình ảnh: Blockaid

Cơ quan an ninh GoPlus phân tích thêm, nghi ngờ rằng kẻ tấn công đã gửi các giao dịch giá trị thấp đến hợp đồng cầu nối, và gọi các chức năng đặc biệt để hợp đồng chuyển lượng dự trữ tài sản hàng loạt đến ví của hacker. Sự kiện này rất có thể do giả mạo xác thực thông điệp cross-chain, bỏ qua logic rút tiền hoặc lỗ hổng kiểm soát truy cập gây ra.

Người sáng lập SlowMist, Yu Xian, cũng chỉ ra rằng, nguyên nhân bị đánh cắp có thể là do kẻ tấn công đã tạo ra một chứng minh Merkle giả mạo, vượt qua xác thực của cầu nối Ethereum của Verus (chưa mở mã nguồn), do đó đã thành công rút tiền (ETH/tBTC/USDC), các chi tiết cụ thể cần phải xác minh thêm.

Nguồn hình ảnh: Yu Xian

Ngoài ra, địa chỉ của kẻ tấn công trước khi phát động cuộc tấn công khoảng 14 giờ, đã chuyển 1 ETH qua mixer Tornado Cash như khoản vốn ban đầu. Cho đến thời điểm hiện tại, đội ngũ chính thức của Verus vẫn chưa đưa ra phản hồi công khai về vụ việc này.

Vụ việc của Verus, xảy ra sau 3 ngày xảy ra sự cố của THORChain

Thời điểm xảy ra vụ tấn công cầu nối cross-chain của Verus trùng với 3 ngày sau khi một giao thức thanh khoản cross-chain nổi tiếng khác là THORChain bị hacker tấn công.

Theo báo cáo của “Crypto City”, THORChain xác nhận bị tấn công vào ngày 15 tháng 5, thiệt hại khoảng 10,8 triệu USD. Sau khi phát hiện các giao dịch bất thường, phía chính thức đã tạm dừng giao dịch và một số chức năng cross-chain, đồng thời phối hợp với các nhóm an ninh để điều tra.

Điều tra ban đầu cho thấy, hacker dường như đã lợi dụng cơ chế đa chữ ký GG20 TSS và lỗ hổng hợp tác với các nút độc hại để thành công rút tiền, tuy nhiên ví của người dùng bình thường chưa bị mất, thiệt hại chủ yếu tập trung vào tính thanh khoản của giao thức và các quỹ nội bộ.

Các cuộc tấn công vào DeFi đang chuyển hướng sang tầng hạ tầng, độ ẩn và khả năng phá hoại tăng cao

Năm nay, DeFi không yên bình. Theo dữ liệu của DeFiLlama, trước khi xảy ra vụ việc của Verus, vào tháng 5 năm 2026 đã có 12 giao thức DeFi bị tấn công, tổng thiệt hại trong tháng vượt quá 20 triệu USD, tính cả Verus là 13 vụ, và thiệt hại lên đến hàng chục triệu USD.

Gần đây, nhiều vụ tấn công hacker cho thấy, mục tiêu của kẻ tấn công đã chuyển từ việc tìm lỗ hổng hợp đồng thông minh đơn thuần sang tấn công vào các tầng hạ tầng nền tảng thấp hơn.

Rủi ro của các giao thức cross-chain cao hơn nhiều so với DeFi đơn chuỗi, vì cấu trúc liên quan đến đồng bộ thông tin cross-chain, xác thực nút, định tuyến tài sản và đa chữ ký phức tạp.

Hiện nay, các cuộc tấn công vào tầng hạ tầng bao gồm gọi lệnh từ xa (RPC), mạng xác thực, oracle và hệ thống thông tin cross-chain. Các cuộc tấn công này thường khó phát hiện hơn, và một khi thành công, dễ dàng ảnh hưởng và chuyển nhượng quy mô lớn tài sản.

Lấy ví dụ vụ tấn công KelpDAO xảy ra đầu năm 2026, giao thức này đã mất tới 292 triệu USD trong thời gian ngắn. Báo cáo của LayerZero sau đó cho biết, vấn đề cốt lõi nằm ở việc KelpDAO sử dụng chế độ xác thực duy nhất trong cấu hình cross-chain.

Nguồn hình ảnh: KelpDAO vụ tấn công đầu năm 2026, thiệt hại lên tới 292 triệu USD

Kẻ tấn công đã lợi dụng việc ô nhiễm RPC, chỉnh sửa trạng thái chuỗi của một số nút, khiến các xác thực viên bị sai lệch thông tin, cuối cùng thành công giả mạo thông tin cross-chain và vượt qua kiểm tra an ninh. Đồng sáng lập LayerZero thừa nhận công khai rằng, thiết kế của giao thức có sai sót, và sẵn sàng chịu trách nhiệm.

• **Báo cáo chi tiết:**LayerZero thừa nhận sai sót thiết kế: Phân tích các điểm yếu an ninh sau vụ KelpDAO bị tấn công 290 triệu USD

Khủng hoảng trở thành cơ hội, DeFi bước vào giai đoạn xem xét lại

Năm 2026 chắc chắn là một năm không yên bình đối với lĩnh vực DeFi, nhưng các sự kiện an ninh liên tiếp cũng là cơ hội để ngành xem xét và trưởng thành hơn.

Nhiều hệ thống cross-chain tự xưng phi tập trung, thực tế vẫn phụ thuộc lớn vào một số ít nút xác thực hoặc hạ tầng trung gian. Chỉ cần một nút xác thực bị ô nhiễm, kẻ tấn công có thể giả mạo thông tin cross-chain, từ đó tạo ra hoặc chuyển nhượng tài sản một cách giả mạo.

Khi quy mô vốn trên chuỗi mở rộng, hacker đầu tư nhiều hơn vào nghiên cứu điểm yếu của kiến trúc cross-chain, làm tăng độ khó và quy mô phá hoại của các cuộc tấn công vào hạ tầng nền tảng.

Trong tương lai, hướng phát triển của DeFi dự kiến sẽ chuyển từ việc đẩy mạnh đổi mới nhanh sang mô hình an toàn, ổn định hơn. Bao gồm kiến trúc mô-đun, phân quyền, giám sát rủi ro tức thời và hệ thống xác thực nhiều lớp, sẽ trở thành trọng tâm của hạ tầng trong giai đoạn tiếp theo. Khi các giao thức cross-chain dần trở thành xương sống của tài chính phi tập trung, yêu cầu về độ ổn định và an toàn của thị trường chắc chắn sẽ ngày càng khắt khe hơn.

Cùng với đó, các giao thức lớn sẵn sàng thừa nhận thiếu sót trong thiết kế kiến trúc, cũng thể hiện rằng ngành Web3 đang phát triển một văn hóa trách nhiệm ngày càng chín chắn hơn,** sau vụ KelpDAO, ngành nhanh chóng huy động 300 triệu USD để cứu các khoản nợ xấu, thể hiện tính bền bỉ của hệ sinh thái Ethereum.**

Đọc thêm:
DeFi quá chậm đối với giới trẻ, quá nguy hiểm với người già: Chúng ta đều đang lấy lãi trái phiếu chính phủ, gánh rủi ro trái phiếu rác?

Cứu các khoản nợ xấu của DeFi! Aave và các ông lớn nhanh chóng huy động 300 triệu USD, thể hiện sức mạnh hợp tác của hệ sinh thái Ethereum