#StablRStablecoinDepegsAfterExploit

Vào ngày 24 tháng 5 năm 2026, một cuộc khai thác gây thiệt hại nghiêm trọng đã tấn công nhà phát hành stablecoin được quy định tại Malta, StablR, khiến hai stablecoin chính của họ, USDR và EURR, mất peg. Đây không phải là một cuộc tấn công phức tạp vào hợp đồng thông minh mà là một thất bại thảm khốc trong quản lý chìa khóa cơ bản—một kẻ tấn công đã xâm phạm một chìa khóa riêng tư duy nhất từ ví multisig 1-of-3, chiếm quyền kiểm soát toàn bộ quá trình phát hành và tạo ra tokens trị giá 13,5 triệu đô la không có sự đảm bảo.

Chìa khóa bị xâm phạm thuộc về một người ký của tài khoản phát hành của StablR. Với ngưỡng chỉ cần 1 trong 3 chữ ký để thực hiện các hành động quản trị nhạy cảm, kẻ tấn công chỉ cần một chìa khóa bị đánh cắp để chiếm quyền kiểm soát. Sử dụng chìa khóa bị đánh cắp, kẻ tấn công đã thêm địa chỉ của mình làm chủ sở hữu, loại bỏ có hệ thống tất cả các người ký hợp lệ, và hoàn toàn kiểm soát chức năng phát hành.

Thất bại trong an ninh vận hành này đã cho phép họ phát hành 8,35 triệu USDR và 4,5 triệu EURR trong một loạt các giao dịch—một cú sốc cung lớn với không có sự hỗ trợ của fiat. Kẻ tấn công sau đó ngay lập tức đổi các tài sản đã phát hành trên các sàn phi tập trung (chủ yếu là Uniswap) lấy ETH. Tuy nhiên, do thanh khoản mỏng, kẻ tấn công đã bán với mức chiết khấu lớn, cuối cùng chỉ thu về **1.115 ETH (~2,8 triệu đô la)** từ giá trị danh nghĩa 13,5 triệu đô của các token đã phát hành.

Tác động Thị trường & Mất peg

Tác động thị trường diễn ra ngay lập tức và dữ dội. Với nguồn cung mới chưa được đảm bảo dự trữ đổ vào các sàn DEX, USDR chịu thiệt hại nặng nhất, giảm 30% xuống còn thấp nhất là 0,70 đô la**. Một số báo cáo cho biết USDR giảm xuống mức thấp nhất là **0,40 đô la trong cơn hoảng loạn, trong khi các báo cáo khác ghi nhận mức giảm xuống còn 0,26 đô la**. EURR giảm **23% xuống khoảng 0,88 đô la so với peg 1,15 đô la trong thị trường EUR/USD—một sự lệch lệch nghiêm trọng đối với các tài sản được thiết kế để duy trì giá trị ổn định. Vi phạm này cũng đã kích hoạt sự tách rời giữa USDR và EURR, phá vỡ mối quan hệ định giá dự kiến giữa hai stablecoin cùng nhà phát hành.

StablR không phải là một hoạt động nhỏ. Là một Tổ chức Tiền điện tử được quy định theo khung pháp lý MiCA của EU, nhà phát hành tuyên bố có dự trữ fiat 1:1 được giữ trong các tài khoản riêng biệt tại các tổ chức hàng đầu. Hơn nữa, Tether đã đầu tư vào StablR vào tháng 12 năm 2024 để thúc đẩy việc chấp nhận stablecoin tại châu Âu—một sự chứng thực mà giờ đây làm nổi bật cách mà ngay cả các nhà chơi lớn, có quy định chặt chẽ cũng có thể thất bại do yếu kém vận hành nội bộ.

Phản ứng của ngành & Các tác động pháp lý

Công ty an ninh chuỗi khối Blockaid, đơn vị đã phát hiện ra cuộc khai thác đang diễn ra, đã nhận định thẳng thắn: “Đây không phải là lỗi của hợp đồng thông minh—đây là thất bại trong quản lý chìa khóa và quản trị.”. Nhà điều tra trên chuỗi ZachXBT là một trong những người đầu tiên cảnh báo cộng đồng về hoạt động đáng ngờ liên quan đến các hợp đồng liên kết với StablR.

Để phản ứng, StablR đã thông báo trên nền tảng X rằng họ đã xác định được lỗ hổng và đang tích cực kiểm soát tác động của nó, với các chi tiết bổ sung sẽ được chia sẻ sau khi xác minh. Nhà phát hành cũng được cho là đã nhanh chóng phong tỏa hàng triệu đô la trong số các khoản tiền bị đánh cắp, mặc dù việc thu hồi toàn bộ tài sản cho người dùng vẫn còn chưa chắc chắn.

Sự cố của StablR góp phần vào xu hướng đáng lo ngại trong DeFi, với hơn một chục cuộc khai thác lớn được báo cáo chỉ trong tháng 5 năm 2026. Các vụ vi phạm nổi bật khác trong tháng này bao gồm THORChain (10 triệu đô), Verus Bridge, Echo Protocol, Polymarket, và nhiều hơn nữa. Điểm chung trong nhiều vụ tấn công này không phải là khai thác mã phức tạp, mà là chìa khóa riêng bị xâm phạm và thất bại trong quản trị—một kênh tấn công mà ngành vẫn đang vật lộn để kiểm soát.

Lời kết

Cuộc khai thác của StablR là một bài học cảnh tỉnh: tuân thủ quy định, hậu thuẫn của tổ chức, và dự trữ fiat ít nhiều trở nên vô nghĩa nếu quyền phát hành được bảo vệ bởi một điểm yếu duy nhất. Khung pháp lý MiCA có thể đặt ra các tiêu chuẩn về dự trữ và minh bạch, nhưng không bảo vệ được khỏi một multisig 1-of-3 kết hợp với yếu kém trong vận hành. Khi stablecoin hướng tới việc phổ biến rộng rãi hơn, sự kiện này nhấn mạnh rằng quản trị và hạ tầng quản lý chìa khóa phải được xử lý với độ cẩn trọng tương tự như an ninh hợp đồng thông minh—nếu không, lần mất peg tiếp theo có thể sẽ không thể phục hồi.