Ba cầu nối tiền mã hóa bị hack hơn 3.560 triệu USD, lộ rõ điểm yếu bảo mật DeFi

*Theo CoinDesk đưa tin ngày 24 (giờ địa phương),* trong vòng chưa đầy 24 giờ, ba **“cầu nối tiền mã hóa”** (cross-chain bridge) gồm AFX Trade, BSquared và VerusCoin lần lượt bị tấn công, gây thiệt hại tổng cộng hơn **“tiền mã hóa”** trị giá khoảng 3.560 triệu USD (hơn 525 tỷ đồng). Chuỗi sự cố này một lần nữa cho thấy **“DeFi”** và hệ thống **“cầu nối tài sản số”** vẫn là mắt xích yếu nhất trong thị trường tài chính phi tập trung.

Trong số ba vụ việc, **AFX Trade** hứng chịu tổn thất lớn nhất. Theo công ty bảo mật blockchain Blockaid, cầu nối AFX trên nền tảng Arbitrum(ARB) bị rút khỏi ví 2,415 triệu USDC, tương đương khoảng 24,2 triệu USD. Cơ chế của cầu AFX yêu cầu 5 trong 7 trình xác thực (validator) ký duyệt mới cho phép rút tiền, nên giới bảo mật nghi ngờ kịch bản kẻ tấn công đã chiếm quyền kiểm soát khóa xác thực hoặc xâm nhập hệ thống vận hành phía sau (backend) của cầu nối. Ngay sau khi chiếm đoạt, hacker đã chuyển toàn bộ USDC từ mạng Arbitrum sang mạng Ethereum(ETH), khiến việc phong tỏa dòng tiền thêm khó khăn. Đại diện AFX cho biết đang phối hợp với đội ngũ Arbitrum và nhiều đơn vị an ninh để điều tra nguyên nhân, đồng thời truy vết dòng tiền bị rút.

Vụ tấn công thứ hai nhắm vào mạng **BSquared** với token gốc B2. Hacker đánh cắp 8,59 triệu B2, ước tính khoảng 3,86 triệu USD theo giá thị trường tại thời điểm đó. Ngay sau khi chiếm quyền kiểm soát, đối tượng đã hoán đổi số B2 này sang 5.409 BNB, thu về khoảng 3,01 triệu USD, rồi tiếp tục đổi sang Ethereum(ETH) và Tether(USDT). Đáng chú ý, số tiền này sau đó được luân chuyển qua nhiều giao thức trên Near Protocol(NEAR), bao gồm một số nền tảng intent và HOT protocol, khiến đường đi của dòng vốn trở nên phức tạp và khó lần theo. Các nhóm phân tích on-chain cho biết họ vẫn đang theo dõi chặt chẽ các ví liên quan.

**VerusCoin** là nạn nhân thứ ba, và đây không phải lần đầu cầu nối VerusCoin – Ethereum bị đánh sập. Theo công ty bảo mật SlowMist, kẻ tấn công đã lợi dụng lại đúng kiểu lỗ hổng “import path” từng được dùng trong vụ hack trị giá 11,5 triệu USD vào tháng 5. Cơ chế kiểm tra của cầu nối VerusCoin được thiết kế thiếu chặt chẽ, cho phép giải ngân tài sản mà không cần xác minh đầy đủ tài sản thế chấp thực sự đang bị khóa ở phía bên kia chuỗi. Kết quả, cầu nối đã bị lợi dụng để rút trái phép tổng cộng khoảng 7,54 triệu USD, bao gồm nhiều loại tài sản như Ethereum(ETH), Bitcoin mã hóa (tBTC), USDC, USDT và DAI. Hacker sau đó nhanh chóng quy đổi phần lớn khoản tiền này thành 3.916 ETH và đẩy vào Tornado Cash, một dịch vụ trộn tiền on-chain, làm giảm đáng kể khả năng thu hồi tài sản.

bình luận: Các chuyên gia bảo mật đánh giá việc cùng một loại lỗ hổng “import path” ở VerusCoin bị khai thác nhiều lần cho thấy quy trình vá lỗi, kiểm toán và rà soát lại kiến trúc hợp đồng còn nhiều thiếu sót. Trong các hệ thống có giá trị tài sản lớn, việc chỉ “sửa chỗ thủng” mà không đánh giá toàn diện mô hình bảo mật sẽ dẫn tới nguy cơ tái diễn sai lầm.

Chuỗi ba vụ hack xảy ra gần như đồng thời đã khiến cộng đồng **“DeFi”** và các nhà đầu tư **“tiền mã hóa”** một lần nữa lo ngại về rủi ro của **“cầu nối tài sản số”**. Các chuyên gia chỉ ra rằng ở AFX, điểm yếu nằm ở mô hình xác thực và quản lý khóa; ở BSquared là chuỗi hoán đổi, rửa tiền qua nhiều mạng lưới; còn VerusCoin lại bộc lộ lỗ hổng thiết kế hợp đồng thông minh và cơ chế thế chấp. Tính đa dạng của các phương thức tấn công trong cùng một ngày cho thấy vấn đề không chỉ là lỗi mã nguồn đơn lẻ, mà còn liên quan đến quy trình vận hành, giám sát và quản trị rủi ro tổng thể.

Bên cạnh đó, khả năng dịch chuyển vốn nhanh qua nhiều blockchain, kết hợp với các dịch vụ trộn tiền như Tornado Cash, khiến công tác điều tra và phong tỏa tài sản ngày càng phức tạp. bình luận: Với quy mô thị trường **“tiền mã hóa”** và **“DeFi”** tiếp tục mở rộng, các cầu nối cross-chain – vốn đóng vai trò huyết mạch trong việc luân chuyển thanh khoản – càng trở thành mục tiêu ưa thích của tội phạm mạng. Giới phân tích nhận định việc nâng cấp tiêu chuẩn bảo mật, đa dạng hóa mô hình xác thực, tăng cường kiểm toán độc lập và cơ chế giám sát on-chain theo thời gian thực đang trở thành yêu cầu bắt buộc, thay vì lựa chọn tùy ý, nếu hệ sinh thái **“DeFi”** muốn thu hút dòng vốn tổ chức trong dài hạn.