GMX bị hack 42 triệu USD: Lỗ hổng hợp đồng thông minh khiến DeFi chao đảo

Một vụ tấn công quy mô lớn vừa xảy ra trên nền tảng giao dịch phái sinh phi tập trung GMX, đặt ra mối lo ngại nghiêm trọng về bảo mật trong lĩnh vực tài chính phi tập trung (DeFi). Theo dữ liệu on-chain được công bố bởi nền tảng phân tích blockchain Lookonchain ngày 24 (giờ địa phương), kẻ tấn công đứng sau vụ việc đã chuyển phần lớn tài sản bị đánh cắp — trị giá khoảng 42 triệu đô la Mỹ (tương đương 584 tỷ đồng) — sang tiền mã hóa Ethereum(ETH).

Đáng chú ý, tên tấn công đã sở hữu tổng cộng 11.700 ETH (khoảng 491 tỷ đồng) và nhanh chóng chia nhỏ số ETH này ra 4 ví mới khác nhau. Điều này cho thấy ý đồ tinh vi nhằm cản trở việc truy dấu giao dịch trên chuỗi.

Vụ việc xảy ra ngày 9 tháng 7, khi kẻ tấn công lợi dụng lỗ hổng trong cơ chế tính giá tài sản của GMX V1 để thực hiện một cuộc "tấn công tái nhập" (re-entrancy attack) vào quỹ thanh khoản GLP (GMX Liquidity Provider) — thành phần cốt lõi trong hệ sinh thái GMX. Kết quả là một lượng lớn tài sản đã bị rút khỏi nền tảng, bao gồm 10 triệu đô la Mỹ (khoảng 139 tỷ đồng) dưới dạng stablecoin Legacy Frax Dollar(FRAX), 9,6 triệu đô la Mỹ (khoảng 133 tỷ đồng) Bitcoin bọc (wBTC) và khoảng 5 triệu đô la Mỹ (70 tỷ đồng) trong DAI.

Ngay sau khi vụ tấn công được phát hiện, GMX đã lập tức đình chỉ việc phát hành và quy đổi GLP trên nền tảng GMX V1 hoạt động trên mạng Arbitrum. Dự án cho biết các giao thức GMX V2 và token GMX không bị ảnh hưởng bởi sự cố này. Tuy nhiên, để đảm bảo an toàn, đội ngũ GMX kêu gọi người dùng vô hiệu hóa đòn bẩy và điều chỉnh lại các thiết lập giao dịch.

Công ty bảo mật blockchain SlowMist xác định nguyên nhân chủ yếu của vụ tấn công là do sai sót trong thiết kế hợp đồng thông minh của GMX V1. Theo phân tích của SlowMist, tin tặc đã thao túng hệ thống bằng cách mở một vị thế bán khống (short) lớn chỉ trong một giao dịch duy nhất, gây biến động giả mạo trong chỉ số giá của GLP. SlowMist bình luận: “Hacker đã thực hiện một chuỗi lệnh phức tạp, buộc hợp đồng thông minh tính sai số dư tài sản.”

Để giảm thiểu thiệt hại và khuyến khích hoàn trả tài sản, GMX đã đưa ra đề nghị trả thưởng 4,2 triệu đô la Mỹ (58 tỷ đồng) cho hacker theo hình thức "white hat" (hacker mũ trắng). Điều kiện là thủ phạm phải hoàn trả 90% số tiền còn lại trong vòng 48 giờ. Tuy nhiên, tính đến thời điểm viết bài, vẫn chưa có phản hồi nào từ phía hacker.

Sự kiện này phơi bày mức độ nghiêm trọng trong lỗ hổng bảo mật của các giao thức DeFi trong quý 2 năm 2025. Theo thống kê từ công ty bảo mật CertiK, tổng cộng 144 vụ tấn công và lừa đảo đã được ghi nhận trong quý, gây thất thoát tới 813 triệu đô la Mỹ (gần 1,113 tỷ đồng). Trong đó, riêng các cuộc tấn công lừa đảo (phishing) đã khiến người dùng mất 395 triệu đô la Mỹ (khoảng 549,5 tỷ đồng), trong khi tổn thất do lỗi hợp đồng thông minh lên tới 235,8 triệu đô la Mỹ (328,7 tỷ đồng).

Vụ tấn công GMX là minh chứng rõ ràng cho thấy tầm quan trọng của việc cải thiện hệ thống bảo mật trong lĩnh vực tài chính phi tập trung, đặc biệt khi ngày càng có nhiều tài sản kỹ thuật số tham gia hệ sinh thái này. Đây là lời cảnh báo mạnh mẽ cho toàn ngành khi các mối đe dọa an ninh mạng tiếp tục gia tăng với quy mô ngày càng lớn.