YO Protocol thất thoát hơn 50 tỷ đồng vì giao dịch hoán đổi lỗi

Dự án DeFi YO thất thoát hơn 50 tỷ đồng do giao dịch "hoán đổi ngoài ý muốn"

Dự án tài chính phi tập trung (DeFi) YO Protocol vừa ghi nhận một "giao dịch lỗi" nghiêm trọng dẫn đến thất thoát hơn 50 tỷ đồng tài sản kỹ thuật số. Dù không phải là một vụ tấn công mạng, sự cố vẫn làm dấy lên lo ngại về những rủi ro nội tại trong cấu trúc hoạt động của thị trường DeFi, đặc biệt là khi liên quan đến khối lượng giao dịch lớn và thanh khoản kém.

Theo PeckShield và BlockSec – hai công ty bảo mật blockchain, sự việc xảy ra vào ngày 13 trong ví của YO Protocol trên mạng Ethereum. Cụ thể, hệ thống đã thực hiện giao dịch hoán đổi khoảng 3,84 triệu USD (tương đương hơn 56,6 tỷ đồng) tài sản staking stkGHO sang đồng stablecoin gắn với USD là USDC. Tuy nhiên, chỉ khoảng 122.000 USD (tức khoảng 1,8 tỷ đồng) dưới dạng USDC thực sự được nhận về. Điều này khiến dự án mất gần 3,73 triệu USD (gần 55 tỷ đồng).

Theo đánh giá từ các đơn vị bảo mật, nguyên nhân chính là do hiện tượng "trượt giá nghiêm trọng" (slippage). Trượt giá thường xảy ra khi thanh khoản thị trường kém hoặc giao dịch có khối lượng lớn, khiến mức giá thực tế khác xa giá kỳ vọng. Trong trường hợp của YO, giao dịch được tiến hành qua một bể thanh khoản mỏng, làm giảm mạnh lượng tài sản nhận lại.

BlockSec gọi đây là một "giao dịch bất thường", trong khi công ty kiểm toán QuillAudits cho rằng có khả năng giao dịch được thực hiện thông qua phiên bản v4 của Uniswap. Phiên bản này cho phép tùy biến logic thông qua tính năng "hook", khiến quá trình giao dịch phức tạp và khó dự đoán hơn.

Điểm đáng chú ý là sự cố không xuất phát từ lỗ hổng hợp đồng thông minh hay hacker, mà đơn thuần là một lỗi vận hành. Điều này đặt ra lo ngại về tính rủi ro cố hữu của tài chính phi tập trung khi các giao dịch lớn diễn ra trong môi trường thiếu kiểm soát và thanh khoản mỏng.

Ngay sau khi phát hiện sự cố, YO đã gửi tin nhắn on-chain đến người nhận số USDC, khẳng định đây là một "giao dịch ngoài ý muốn". Dự án đề nghị hoàn trả 90% số tiền bị hoán đổi, đồng thời sẵn sàng giữ lại 10% như phần thưởng "phát hiện lỗi" (bug bounty). Thông tin này được tài khoản giám sát DeFi có tên Defimon Alerts chia sẻ công khai trên mạng xã hội.

Sau đó, đội ngũ YO nhanh chóng mua lại số lượng GHO trị giá 3,73 triệu USD và nạp lại vào ví để khôi phục số stkGHO bị mất. Nền tảng giao dịch Pendle, nơi từng tạm dừng giao dịch YoUSD – token gốc của YO Protocol, cũng đã hoạt động trở lại sau khi tài sản thế chấp được khôi phục.

Tuy nhiên, phản ứng từ cộng đồng không mấy tích cực. Nhiều người chỉ trích quy trình kiểm soát rủi ro của dự án, cho rằng việc tiến hành giao dịch có giá trị lớn mà không có mô phỏng trước hoặc quy trình phê duyệt là một "sai sót mang tính hệ thống". Một số ý kiến còn gọi đây là sự "thiếu trách nhiệm trong vận hành".

Tính đến thời điểm hiện tại, YO vẫn chưa công bố báo cáo chính thức hoặc có phản hồi trước các chỉ trích. Theo trang The Defiant ngày 24, YO đã nhận được yêu cầu bình luận nhưng vẫn chưa có bất kỳ phản hồi nào.

Bình luận: Trong khi sự cố không liên quan đến hacker hay lỗ hổng kỹ thuật, việc một dự án DeFi mất hàng triệu USD chỉ vì giao dịch sai địa chỉ hoặc sai giao diện là lời cảnh báo rõ ràng về những thách thức đối với tính bảo mật và vận hành của tài chính phi tập trung. Thị trường cần những quy trình quản trị minh bạch và kiểm soát rủi ro chặt chẽ hơn để tránh tái diễn các "tai nạn ngoài ý muốn" như trường hợp của YO Protocol.