DeFi · ✦ AI tổng hợp
Slowmist: Lỗ hổng bảo mật trong mã nguồn DIP Token khiến hacker chiếm đoạt khoảng 111.000 USDC
Công ty bảo mật blockchain Slowmist vừa công bố báo cáo về vụ tấn công nhắm vào DIP Token — tài sản tiện ích cốt lõi của hệ sinh thái Etherisc. Kẻ tấn công đã khai thác một lỗi lập trình để rút ruổng khoảng 111.097,6 USDC thông qua một giao dịch chuyển tiền được thực thi hai lần.
Slowmist: Lỗi mã nguồn đơn lẻ khiến DIP Token bị rút ruổng 111.000 USDC
Theo thông tin từ Slowmist, một lỗ hổng bảo mật nghiêm trọng trong mã nguồn của DIP Token — tài sản tiện ích không thể thiếu của hệ sinh thái Etherisc — đã bị kẻ tấn công khai thác để chiếm đoạt tổng cộng 111.097,6 USDC, tương đương khoảng 111.000 USD.
Giao dịch chuyển tiền bị thực thi hai lần
Trong báo cáo tình báo mối đe dọa (threat intelligence alert), Slowmist chỉ rõ nguyên nhân gốc rễ của vụ việc nằm ở một dòng mã duy nhất bị thiếu trong hợp đồng thông minh (smart contract) của DIP Token. Lỗi này cho phép một giao dịch chuyển tiền được thực hiện hai lần trong cùng một phiên, tạo điều kiện để kẻ tấn công nhân đôi số tiền rút ra khỏi giao thức.
Cụ thể, khi thực hiện một giao dịch hợp lệ, hợp đồng thông minh đã không kiểm tra hoặc không ghi nhận trạng thái đã xử lý của giao dịch đó, khiến bất kỳ ai có khả năng gọi hàm phù hợp đều có thể kích hoạt lại quy trình chuyển tiền một cách tùy ý.
Etherisc và vai trò của DIP Token
DIP Token là token tiện ích (utility token) chủ chốt trong hệ sinh thái Etherisc — một nền tảng phi tập trung cung cấp các sản phẩm bảo hiểm và quản lý rủi ro trên blockchain. Token này đóng vai trò then chốt trong việc vận hành các dịch vụ của giao thức, bao gồm staking, governance và thanh toán phí bảo hiểm.
Vụ khai thác lần này cho thấy mối quan ngại ngày càng lớn về chất lượng mã nguồn của các hợp đồng thông minh trong không gian DeFi, đặc biệt khi một lỗi chỉ vỏn vẹn một dòng code cũng có thể dẫn đến thiệt hại hàng trăm nghìn USD cho người dùng.
Khuyến nghị từ Slowmist
Slowmist khuyến nghị các nhà phát triển cần thực hiện kiểm toán mã nguồn (code audit) toàn diện trước khi triển khai bất kỳ hợp đồng thông minh nào ra mainnet. Đồng thời, cơ chế kiểm tra trạng thái giao dịch (nonce tracking) và giới hạn thời gian (rate limiting) nên được áp dụng để ngăn chặn việc một hàm bị gọi nhiều lần trái phép.
Tính đến thời điểm hiện tại, đội ngũ Etherisc chưa đưa ra tuyên bố chính thức về vụ việc. Cộng đồng đang tiếp tục theo dõi diễn biến và chờ đợi thông tin cập nhật từ phía dự án.
---
Bài viết được tổng hợp dựa trên thông tin từ Slowmist Threat Intelligence. Giá trị thiệt hại tính theo thời điểm xảy ra vụ việc.
/ Bài viết liên quan
Ostium tạm dừng giao dịch sau vụ khai thác 18,4 triệu USD từ khóa oracle bị xâm phạm
Sàn giao dịch hợp đồng vĩnh cửu Ostium trên Arbitrum đã tạm dừng toàn bộ hoạt động sau khi bị khai thác 18,4 triệu USD. Vụ tấn công không xuất phát từ lỗ hổng smart contract mà từ khóa riêng tư oracle ngoài chuỗi bị xâm phạm, cho phép kẻ tấn công thao túng dữ liệu giá đầu vào của hệ thống.
DEX Arcus mở rộng với cổ phiếu token hóa và hợp đồng vĩnh viễn trên Robinhood Chain
Arcus, sàn giao dịch phi tập trung do đội ngũ dYdX xây dựng và được Robinhood hậu thuẫn, vừa mở rộng nền tảng với việc tích hợp cổ phiếu token hóa và hợp đồng tương lai vĩnh viễn (perpetual futures) trên Robinhood Chain. Động thái này diễn ra trong bối cảnh các nền tảng DeFi đang chạy đua đưa tài sản truyền thống lên onchain.
Morpho ra mắt giao thức cho vay lãi suất cố định Midnight trên Base
Morpho vừa triển khai Morpho Midnight — giao thức cho vay lãi suất cố định với kỳ hạn xác định — trên mạng Base. Sản phẩm mới bổ sung cho Morpho Blue vốn đang hoạt động theo mô hình lãi suất biến đổi, mở rộng danh mục DeFi lending của giao thức này.
Hyperliquid ra mắt HIP-4: Thị trường không cần cấp phép, yêu cầu stake 500K HYPE
Hyperliquid vừa triển khai nâng cấp HIP-4, cho phép tạo thị trường giao dịch mà không cần xin phép (permissionless markets), với điều kiện người dùng phải stake tối thiểu 500.000 token HYPE. Thị trường dự báo hiện ghi nhận xác suất 29,5% cho khả năng giá HYPE đạt 100 USD vào cuối năm 2026.