Dự án Cardano SecondFi bị khai thác lỗ hổng, thiệt hại có thể vượt 20 triệu USD

SecondFi bị tấn công do lỗ hổng phần mềm tạo ví

Dự án SecondFi trên mạng lưới Cardano (ADA) vừa hứng chịu một vụ tấn công bảo mật nghiêm trọng, bắt nguồn từ lỗ hổng trong phần mềm tạo ví độc quyền của chính dự án. Kẻ tấn công đã lợi dụng lỗ hổng này để truy cập trái phép vào nhiều ví người dùng và rút tiền.

Đáng chú ý, giao thức cơ sở của Cardano không phải là điểm bị khai thác — đây là vụ tấn công ở tầng hạ tầng phía trên nền tảng blockchain.

Quy mô thiệt hại vẫn còn tranh cãi

Con số thiệt hại hiện có sự chênh lệch đáng kể giữa các nguồn. Ước tính nội bộ của SecondFi đặt mức tổn thất ở khoảng 16 triệu ADA. Tuy nhiên, theo phân tích luồng tiền của công ty bảo mật blockchain SlowMist, con số thực tế có thể lên tới hơn 129 triệu ADA cộng thêm các token khác trong các ví bị ảnh hưởng.

Nhà sáng lập SlowMist, Yu Xian (bí danh Cos), cho rằng tổng thiệt hại đã vượt mức 20 triệu USD. Tại thời điểm ngày 24/6, ADA giao dịch ở mức 0,1502 USD, giảm 3% trong 24 giờ, khiến 129 triệu ADA tương đương khoảng 19,4 triệu USD. Phần còn lại đến từ các token không phải ADA bị mất trong các ví liên quan.

Sự chênh lệch giữa hai ước tính cho thấy kết quả cuối cùng sẽ phụ thuộc vào kết quả của cuộc đánh giá kỹ thuật độc lập mà SecondFi đang tiến hành cùng một công ty bảo mật bên ngoài.

Cơ chế tấn công và cảnh báo của dự án

Team SecondFi xác định lỗ hổng nằm ở tầng địa chỉ ví — rủi ro bảo mật phát sinh khi giao dịch được ký. Dự án đã phát đi cảnh báo rằng việc chuyển sang ví hoặc nền tảng khác không giải quyết được rủi ro nếu ví ban đầu đã bị ảnh hưởng. SecondFi đã hoàn thành phân tích on-chain để xác định phạm vi các địa chỉ bị ảnh hưởng.

Xu hướng tấn công tầng hạ tầng năm 2026

Vụ việc này nằm trong chuỗi các cuộc tấn công nhắm vào lớp phần mềm phía trên blockchain cơ sở. Đầu tháng 6, Humanity Protocol mất 88% giá trị token trong 24 giờ do rò rỉ private key. Trước đó, vụ khai thác bridge của Syscoin cũng cho thấy các lỗ hổng ở tầng tooling thường vượt qua được các audit bảo mật tiêu chuẩn.

ADA chịu thêm áp lực

ADA hiện đang giao dịch gần mức thấp nhất trong 5 năm. Nhà sáng lập Cardano Charles Hoskinson gần đây đã đề xuất kế hoạch phục hồi hệ sinh thái, song cộng đồng vẫn còn nhiều hoài nghi. Hoskinson thừa nhận rằng dù thiệt hại trông có vẻ nhỏ so với các vụ hack lớn trong ngành, điều đó không mang lại sự an ủi nào cho những người dùng bị mất toàn bộ tài sản ADA.

Vụ tấn công xảy ra chỉ một ngày sau khi Cardano ra mắt testnet Leios Musashi Dojo, và có thể gây khó khăn thêm cho nỗ lực thu hút nhà phát triển và thanh khoản mới vào hệ sinh thái.

Tính đến thời điểm đăng bài, SecondFi chưa công bố lộ trình bồi thường hay kế hoạch khôi phục. Kết quả đánh giá kỹ thuật độc lập sẽ quyết định khả năng thu hồi tài sản và các thay đổi cần thực hiện trước khi dự án hoạt động trở lại an toàn.