DeFi · ✦ AI tổng hợp
Polymarket xác nhận mất 3 triệu USD do tấn công chuỗi cung ứng front-end
Polymarket xác nhận tin tặc đã rút khoảng 3 triệu USD từ người dùng thông qua một nhà cung cấp bên thứ ba bị xâm phạm, chèn mã độc vào giao diện website. Nền tảng dự đoán thị trường cho biết đã khống chế được sự cố và cam kết hoàn tiền cho những người dùng bị ảnh hưởng.
Polymarket xác nhận mất 3 triệu USD trong vụ tấn công chuỗi cung ứng
Nền tảng dự đoán thị trường phi tập trung Polymarket hôm thứ Sáu chính thức xác nhận đã xảy ra một vụ tấn công nghiêm trọng khiến người dùng thiệt hại khoảng 3 triệu USD. Theo thông tin từ công ty bảo mật blockchain PeckShield, vụ việc bắt nguồn từ một nhà cung cấp bên thứ ba bị xâm phạm, qua đó tin tặc đã chèn mã độc vào giao diện front-end của website.
Tấn công chuỗi cung ứng front-end
Đây là dạng tấn công supply-chain nhắm vào lớp giao diện người dùng — một hướng tấn công ngày càng phổ biến trong hệ sinh thái DeFi. Thay vì tấn công trực tiếp vào smart contract hay hạ tầng on-chain của dự án, tin tặc nhắm vào một nhà cung cấp dịch vụ bên thứ ba tích hợp trong website, từ đó cài mã độc lên môi trường mà người dùng cuối tương tác hàng ngày.
Mã độc được chèn vào có khả năng đánh cắp thông tin hoặc chuyển hướng giao dịch, dẫn đến việc tài sản của người dùng bị rút ra ngoài mà không có sự đồng ý hợp lệ.
Phản ứng của Polymarket
Polymarket cho biết đã khống chế được sự cố ngay sau khi phát hiện và đang phối hợp điều tra để làm rõ toàn bộ phạm vi thiệt hại. Nền tảng đồng thời cam kết hoàn tiền cho những người dùng bị ảnh hưởng, tuy nhiên chưa công bố chi tiết về quy trình và thời hạn hoàn trả.
Đây là tín hiệu tích cực về trách nhiệm của dự án, song cũng đặt ra câu hỏi về quy trình kiểm soát an ninh đối với các tích hợp bên thứ ba trong hệ thống.
Bài học về bảo mật DeFi
Vụ việc tại Polymarket là lời nhắc nhở quan trọng rằng rủi ro bảo mật trong DeFi không chỉ đến từ lỗ hổng smart contract. Giao diện front-end và chuỗi cung ứng phần mềm đang trở thành mục tiêu ngày càng hấp dẫn với tin tặc, bởi chúng thường ít được kiểm toán chặt chẽ hơn so với lớp on-chain.
Trước đó, nhiều dự án DeFi lớn như Curve Finance hay Ledger cũng từng là nạn nhân của các hình thức tấn công tương tự nhắm vào lớp giao diện hoặc thư viện JavaScript phụ thuộc.
Người dùng các nền tảng DeFi được khuyến cáo thường xuyên kiểm tra địa chỉ URL, sử dụng ví phần cứng, và xem xét kỹ nội dung giao dịch trước khi ký xác nhận.
/ Bài viết liên quan
Stablecoin thuật toán Balance Coin lao dốc 99% sau vụ khai thác 915.000 USD
Balance Coin (BLNC), stablecoin thuật toán thuộc hệ sinh thái Balance Protocol, đã mất gần như toàn bộ giá trị sau một vụ tấn công được báo cáo gây thiệt hại khoảng 915.000 USD. Các công ty bảo mật blockchain xác định nguyên nhân liên quan đến lỗ hổng tại 42DAO, tổ chức tự trị phi tập trung quản trị giao thức này.
Ostium tạm dừng giao dịch sau vụ khai thác 18,4 triệu USD từ khóa oracle bị xâm phạm
Sàn giao dịch hợp đồng vĩnh cửu Ostium trên Arbitrum đã tạm dừng toàn bộ hoạt động sau khi bị khai thác 18,4 triệu USD. Vụ tấn công không xuất phát từ lỗ hổng smart contract mà từ khóa riêng tư oracle ngoài chuỗi bị xâm phạm, cho phép kẻ tấn công thao túng dữ liệu giá đầu vào của hệ thống.
DEX Arcus mở rộng với cổ phiếu token hóa và hợp đồng vĩnh viễn trên Robinhood Chain
Arcus, sàn giao dịch phi tập trung do đội ngũ dYdX xây dựng và được Robinhood hậu thuẫn, vừa mở rộng nền tảng với việc tích hợp cổ phiếu token hóa và hợp đồng tương lai vĩnh viễn (perpetual futures) trên Robinhood Chain. Động thái này diễn ra trong bối cảnh các nền tảng DeFi đang chạy đua đưa tài sản truyền thống lên onchain.
Morpho ra mắt giao thức cho vay lãi suất cố định Midnight trên Base
Morpho vừa triển khai Morpho Midnight — giao thức cho vay lãi suất cố định với kỳ hạn xác định — trên mạng Base. Sản phẩm mới bổ sung cho Morpho Blue vốn đang hoạt động theo mô hình lãi suất biến đổi, mở rộng danh mục DeFi lending của giao thức này.