WUSD.fi Tấn công khai thác Sybil rút $200K khỏi các Pool GLOVE

Một cuộc tấn công farm sybil trên WUSD.fi và GLOVE đã rút khoảng $200K từ các pool thanh khoản của Uniswap V3 trên Ethereum. Không có cuộc kiểm toán nào phát hiện ra lỗi cơ chế thưởng.

Ai đó đã tính toán trước khi giao thức làm điều đó. Vào ngày 25 tháng 5, một kẻ tấn công duy nhất đã rời đi với khoảng $200K từ hai pool Uniswap V3 liên kết với giao thức WUSD.fi và GLOVE trên Ethereum. Không phải lỗi trong mã hợp đồng chính xác. Nhiều hơn là một trường hợp của cơ chế thưởng không bao giờ hỏi ai là người nhận thưởng.

Nhà nghiên cứu an ninh blockchain exvulsec đã báo cáo vụ việc trên X, trình bày toàn bộ dấu vết trên chuỗi. Kẻ tấn công đã sử dụng một khoản vay flash, luân chuyển qua các ví mới, và bán tháo các token GLOVE thu hoạch vào các pool thanh khoản trước khi ai đó phát hiện ra.

Cơ Chế Mà Không Ai Thử Nghiệm Áp Lực

Trong hợp đồng của WUSD.fi có một hàm gọi là WUSD._englove. Theo exvulsec trên X, bất kỳ ví mới nào wrapping ít nhất 100 WUSD trong khi giữ dưới 2 GLOVE có thể gọi Glove.mintCreditless và nhận tới 2 token GLOVE. Không kiểm tra danh tính. Không giới hạn tỷ lệ. Không gì cả.

Kẻ tấn công đã triển khai các hợp đồng trợ giúp EIP-7702, rút một khoản vay flash Morpho USDT, rồi thực hiện các chu kỳ wrapping và unwrapping lặp đi lặp lại qua các địa chỉ ví mới. Mỗi địa chỉ mới lại đủ điều kiện. GLOVE tiếp tục được mint.

GLOVE thu hoạch được chuyển thẳng vào Uniswap V3. Pool GLO-USDC mất 11.702 USDC trong các drain có thể quan sát được. Pool GLO-USDT mất 8.079 USDT. Cả hai con số đã được xác nhận qua Etherscan tại thời điểm báo cáo.

Những Gì Cộng Đồng Đã Nhận Ra

SecureAI trên X nói rõ: vụ khai thác không phải do hợp đồng. Đó là thiết kế cơ chế thưởng. Các cuộc kiểm toán thường xem xét logic mã. Họ hiếm khi thử nghiệm các đường dẫn khuyến khích kinh tế theo cách mà kẻ tấn công sẽ làm.

Tài khoản crypto tiếng Trung aegixe_cn trên X gọi đó là một cuộc tấn công lạm dụng khuyến khích khác và cảnh báo người dùng hiểu rõ cơ chế của một giao thức trước khi bỏ tiền vào. Loại nhắc nhở đó có ý nghĩa khác khi $200K đã rời khỏi pool. Các vụ khai thác DeFi đã gia tăng trong năm nay, chỉ riêng tháng 5 đã chứng kiến nhiều sự cố về thanh khoản trên Ethereum.

Không có thao túng oracle. Không có reentrancy. Chỉ là một hàm mint phân phát token cho bất kỳ ai xuất hiện với một địa chỉ mới. Cuộc tấn công tiếp tục diễn ra miễn là các địa chỉ mới đủ điều kiện. Và chúng đã làm vậy, một phần của mô hình đã khiến DeFi thiệt hại gần $770M trong năm 2026. Theo các hồ sơ.