Moonwell, một giao thức cho vay DeFi trên Base và Optimism, đã thiệt hại 1,78 triệu USD sau lỗi định giá oracle khiến cbETH bị tính khoảng 1,12 USD thay vì gần 2.200 USD, dẫn đến thanh lý tức thì và được cho là có liên quan đến mã Solidity đồng tác giả bởi Claude Opus 4.6.
Sự cố làm nổi bật rủi ro khi triển khai hợp đồng thông minh có thành phần do AI hỗ trợ viết mã, đặc biệt ở các khâu nhạy cảm như công thức định giá oracle. Moonwell cho biết vấn đề chỉ ảnh hưởng thị trường cbETH Core Market trên Base và đã được khoanh vùng bằng biện pháp khẩn cấp.
- Lỗi cấu hình oracle khiến cbETH bị định giá 1,12 USD thay vì gần 2.200 USD, tạo ra thanh lý hàng loạt.
- Tổng thiệt hại ước tính 1,78 triệu USD, chủ yếu liên quan các vị thế cbETH, WETH và USDC.
- Sự cố làm nóng tranh luận về “vibe coding” và nhu cầu tăng cường kiểm duyệt, kiểm toán khi dùng AI viết Solidity.
Moonwell mất 1,78 triệu USD vì lỗi định giá oracle ở thị trường cbETH trên Base
Lỗi oracle trên Moonwell khiến cbETH bị định giá thấp cực độ, tạo cơ hội cho liquidator tất toán nợ rất nhỏ nhưng nhận về tài sản thế chấp trị giá lớn, gây thiệt hại ước tính 1,78 triệu USD.
Moonwell, thị trường cho vay phi tập trung hoạt động trên Base và Optimism, cho biết họ đã phát hiện sự cố cấu hình oracle nghiêm trọng ảnh hưởng đến cbETH Core Market trên Base. Chi tiết được công bố trong bài tổng kết sự cố của dự án tại diễn đàn Moonwell.
Hệ quả trực tiếp là cbETH bị hệ thống ghi nhận khoảng 1,12 USD mỗi token thay vì gần 2.200 USD theo thị trường, tương đương mức định giá thấp hơn khoảng 2.000 lần. Khi giá oracle sai, các ngưỡng an toàn tài sản thế chấp bị phá vỡ, khiến thanh lý được kích hoạt gần như tức thì đối với nhiều vị thế.
Cách lỗi công thức khiến cbETH/ETH bị hiểu nhầm là giá USD
Mã triển khai đã lấy tỷ giá cbETH/ETH rồi coi nhầm đó là giá tính theo USD, thay vì nhân thêm với feed ETH/USD, khiến giá cbETH hiển thị chỉ quanh 1,12 USD.
Lỗ hổng xuất hiện ngày 15/02/2026, ngay sau khi Moonwell kích hoạt đề xuất quản trị MIP-X43 để tích hợp các wrapper Oracle Extractable Value (OEV) của Chainlink trên các thị trường Base và Optimism.
Theo mô tả sự cố, cách đúng để ra giá cbETH theo USD là lấy tỷ giá cbETH/ETH rồi nhân với giá ETH/USD. Tuy nhiên, đoạn mã được triển khai chỉ lấy tỷ giá cbETH/ETH và “đối xử” với con số này như thể đã là USD, làm sụp đổ logic định giá tài sản thế chấp.
Vì cbETH bị định giá thấp, liquidator có thể trả khoản nợ xấp xỉ 1 USD rồi nhận về tài sản thế chấp trị giá hàng nghìn USD. Điều này biến sai số oracle thành cơ chế “rút giá trị” thông qua thanh lý, thay vì phản ánh biến động thị trường thật.
Biện pháp khẩn cấp đã chặn vay mới nhưng không đảo ngược các thanh lý đã xảy ra
Quản lý rủi ro của Moonwell đã hạ borrow cap cbETH xuống 0,01 trong vài giờ để ngăn phát sinh khoản vay mới, nhưng các giao dịch thanh lý trước đó vẫn được xử lý và gây thiệt hại cho người dùng.
Moonwell cho biết quản lý rủi ro đã nhanh chóng giảm trần vay (borrow cap) của cbETH xuống 0,01, về thực chất là đóng băng hoạt động vay mới và hạn chế tổn thất lan rộng.
Dù vậy, do thanh lý đã được thực thi onchain trước khi biện pháp khẩn cấp có hiệu lực đầy đủ, một số người dùng chịu mức lỗ rất lớn. Moonwell ước tính tổng thiệt hại 1,78 triệu USD, chủ yếu tác động đến các vị thế liên quan cbETH, WETH và USDC.
Dự án cũng mô tả hai hệ quả song song: một số người vay gần như mất toàn bộ tài sản thế chấp, trong khi một số khác lợi dụng định giá sai để vay vượt mức lẽ ra được phép, làm phát sinh thêm nợ trong giao thức.
Sự cố được cho là có liên hệ với mã Solidity đồng tác giả bởi Claude Opus 4.6
Các nhận định từ cộng đồng bảo mật cho rằng một phần mã dễ tổn thương có thể đã được viết với sự hỗ trợ của Claude Opus 4.6, làm dấy lên nghi vấn về rủi ro “vibe-coded” Solidity khi thiếu giám sát.
“Claude Opus 4.6 wrote vulnerable code, leading to a smart contract exploit with 1.78M loss… The PRs of the project show commits were co-authored by Claude…”
– pashov, bài đăng trên X, 17/02/2026
Sự cố cũng làm nóng lại tranh luận về “vibe coding”: AI giúp rút ngắn thời gian phát triển, nhưng có thể đưa vào những lỗi khó nhận ra nếu quy trình review, kiểm thử và kiểm toán không đủ chặt. Kiểm toán viên hợp đồng thông minh Pashov nhấn mạnh rằng phía sau AI vẫn phải có con người kiểm tra sản phẩm hoàn chỉnh; vì vậy chỉ đổ lỗi cho mô hình là không đầy đủ, nhưng sự việc “làm dấy lên lo ngại” về vibe coding.
Một công ty an ninh blockchain khác, SlowMist, cũng nêu quan ngại về “lỗ hổng công thức oracle” và sự đứt gãy giám sát của con người khiến mã lỗi lọt vào môi trường production.
Nghiên cứu gần đây cho thấy công cụ AI viết mã có thể tạo ra nhiều lỗ hổng bảo mật
Một nghiên cứu được công bố trước sự cố Moonwell ghi nhận 69 lỗ hổng trên 15 ứng dụng tạo bằng công cụ AI, và nghiên cứu của Anthropic cuối 2025 cũng mô phỏng khả năng mô hình AI tự khai thác lỗ hổng hợp đồng thông minh.
Một nghiên cứu được công bố “chỉ vài tuần” trước sự cố Moonwell cho biết đã phát hiện 69 lỗ hổng trên 15 ứng dụng được tạo bằng các công cụ AI viết mã phổ biến như Cursor, Claude Code và các công cụ khác. Con số này được nêu như bằng chứng rằng chất lượng bảo mật không thể mặc định khi dùng AI sinh mã.
Ngoài ra, nghiên cứu của Anthropic (12/2025) cho biết Claude Opus 4.5 trong môi trường mô phỏng có thể khai thác lỗ hổng hợp đồng thông minh để chiếm đoạt giá trị ước tính 4,6 triệu USD. Nghiên cứu cũng kết luận các mô hình AI hàng đầu đã có thể tự xác định lỗ hổng, tạo chuỗi khai thác hoạt động được và rút giá trị với mức giám sát tối thiểu.
Moonwell nói các thị trường khác không bị ảnh hưởng và sự cố chỉ nằm ở cbETH Core Market trên Base
Moonwell khẳng định không có thị trường nào khác trên Base hoặc OP Mainnet bị tác động; vấn đề được cô lập tại cbETH Core Market trên Base.
Trong cập nhật đăng trên X, Moonwell làm rõ rằng “không có thị trường nào khác trên Base hoặc OP Mainnet bị ảnh hưởng” và lỗi “được cô lập ở cbETH Core Market trên Base”.
Moonwell cũng nhắc lại đây không phải lần đầu giao thức gặp sự cố oracle, viện dẫn một vụ “báo cáo sai” vào tháng 11/2025, cho thấy oracle là điểm rủi ro cần kiểm soát liên tục trong các giao thức cho vay DeFi.
So sánh với lỗi gán đơn vị tại Bithumb cho thấy rủi ro “nhầm đơn vị” có thể tạo sai lệch cực lớn
Sự cố Moonwell có điểm tương đồng với lỗi gán đơn vị tại Bithumb ngày 06/02, khi nhập sai “BTC” thay vì “KRW”, làm phát sinh “giá trị ảo” rất lớn.
Bài viết mô tả một sự cố tại sàn Hàn Quốc Bithumb vài ngày trước đó: một nhân sự được cho là đã nhập “BTC” thay vì “KRW” khi phân phối thưởng cho chương trình Random Box, khiến người dùng nhận thưởng bằng Bitcoin thay vì won Hàn Quốc.
Theo mô tả, sự cố này dẫn đến khoản thất thoát khoảng 620.000 Bitcoin, được định giá “hơn 40 tỷ USD”, và bài viết còn nhận xét con số này “gần 3% tổng nguồn cung Bitcoin toàn cầu”. Thông tin này phản ánh mức độ nghiêm trọng khi hệ thống tài chính, dù tập trung hay phi tập trung, gặp lỗi đơn vị hoặc lỗi công thức định giá.
Những câu hỏi thường gặp
Moonwell bị hack hay chỉ là lỗi oracle?
Sự cố bắt nguồn từ lỗi cấu hình/công thức định giá oracle khiến cbETH bị định giá sai, tạo điều kiện cho thanh lý và khai thác chênh lệch. Thiệt hại được Moonwell ước tính 1,78 triệu USD.
Vì sao cbETH lại bị định giá 1,12 USD?
Đoạn mã triển khai đã lấy tỷ giá cbETH/ETH rồi coi nhầm là giá tính theo USD, thay vì nhân tỷ giá đó với feed ETH/USD. Do đó giá cbETH hiển thị quanh 1,12 USD thay vì gần 2.200 USD.
Moonwell đã làm gì để hạn chế thiệt hại?
Moonwell cho biết quản lý rủi ro đã hạ borrow cap của cbETH xuống 0,01 trong vài giờ để đóng băng việc vay mới và khoanh vùng tác động. Tuy nhiên, các thanh lý đã diễn ra trước đó vẫn gây lỗ nặng cho người dùng.
Những tài sản nào bị ảnh hưởng nhiều nhất?
Moonwell ước tính thiệt hại chủ yếu liên quan đến các vị thế cbETH, WETH và USDC trên thị trường cbETH Core Market của Base.
Sự cố có ảnh hưởng các thị trường khác trên Base hoặc Optimism không?
Moonwell nói không có thị trường nào khác trên Base hoặc OP Mainnet bị ảnh hưởng và vấn đề chỉ nằm ở cbETH Core Market trên Base.
Sự kiện này nói gì về việc dùng AI viết Solidity?
Nó cho thấy AI có thể hỗ trợ tăng tốc phát triển nhưng vẫn cần review, kiểm thử và kiểm toán nghiêm ngặt trước khi lên production, đặc biệt với logic oracle. Các tranh luận về “vibe coding” vì thế trở nên gay gắt hơn sau sự cố.
