Alephium Token Bridge trên Ethereum vừa bị khai thác, khiến khoảng 815.000 USD tài sản bị rút và dự án yêu cầu nhà cung cấp thanh khoản rút vốn khỏi các pool ALPH.
Sự cố này tiếp tục nối dài làn sóng tấn công nhắm vào hạ tầng cầu nối xuyên chuỗi trong tháng 5, đồng thời làm dấy lên lo ngại về rủi ro vận hành và bảo mật của các bridge trong DeFi.
- Kẻ tấn công đã mint 13,76 triệu wrapped ALPH từ các giao dịch giả mạo.
- Alephium cho biết lỗi xuất phát từ một lỗ hổng offchain trong backend bridge, không phải do guardian keys bị lộ.
- Dự án khuyến nghị rút thanh khoản khỏi các pool ALPH trên Ethereum và BNB Chain để hạn chế rủi ro.
Sự cố của Alephium Token Bridge diễn ra như thế nào
Kẻ tấn công đã khai thác Token Bridge của Alephium trên Ethereum, mint 13,76 triệu wrapped ALPH và rút khoảng 815.000 USD tài sản. Dự án sau đó cảnh báo những người đang cung cấp thanh khoản cần rút vốn ngay khỏi các pool liên quan.
Blockaid phát hiện vụ khai thác và cho biết quá trình này diễn ra trong khoảng bảy phút. Ban đầu, Blockaid nhận định attacker đã chiếm được ba trong bốn guardian keys để ký các thông điệp xác thực chuyển chuỗi. Tuy nhiên, Alephium sau đó bác bỏ nhận định này.
Theo phân tích của dự án, nguyên nhân được xác định là một lỗ hổng offchain trong backend của bridge, có thể bị kích hoạt trong một số trường hợp đặc biệt. Dữ liệu được công bố cho thấy số tài sản bị lấy từ Ethereum gồm 200.967 USDT, 17.594 USDC, 5,18 WETH và 0,335 WBTC.
Alephium nói gì về nguyên nhân và dòng tiền bị rút
Alephium khẳng định vụ khai thác không bắt nguồn từ việc guardian keys bị xâm phạm. Thay vào đó, dự án cho biết lỗi nằm ở phần backend ngoài chuỗi của bridge và đã tác động đến cả Ethereum lẫn BNB Chain.
Dự án nêu thêm rằng 36.750 USDT và 24,386 WBNB đã bị lấy từ BNB Chain. Trong khi đó, một phần tài sản bị đánh cắp được cho là đã được chuyển sang Tornado Cash theo phân tích on-chain được nhắc đến trên X.
Diễn biến này cho thấy bridge không chỉ đối mặt với rủi ro từ lớp ký xác thực, mà còn từ các thành phần vận hành ngoài chuỗi. Với các hệ thống cầu nối, chỉ một mắt xích lỗi cũng có thể dẫn tới việc tài sản bị mint hoặc giải phóng trái phép.
Vì sao Alephium yêu cầu rút thanh khoản khỏi ALPH pools
Ngay sau sự cố, Alephium cảnh báo người đang cung cấp thanh khoản cho ALPH trên Uniswap và PancakeSwap nên rút vốn khỏi các pool này. Dự án cũng khuyến nghị không swap qua các pool nói trên trong thời điểm bridge đã bị đóng.
Alephium giải thích trên X rằng khi bridge đã bị shut down, attacker không thể redeem hay bridge số wrapped ALPH trái phép quay ngược lại qua bridge của Alephium. Tuy vậy, việc bổ sung thanh khoản hoặc giao dịch với các pool này có thể giúp kẻ tấn công hiện thực hóa giá trị từ số wrapped ALPH không được phép tạo ra.
Đây là lý do dự án ưu tiên ngăn dòng thanh khoản mới chảy vào các pool liên quan, thay vì chỉ tập trung vào việc đóng bridge. Trong bối cảnh này, thanh khoản còn lại có thể trở thành điểm tựa để số token bị mint trái phép tiếp tục được định giá và thoát ra thị trường.
Bối cảnh thị trường của ALPH sau vụ việc
ALPH hiện được giao dịch quanh mức 0,037 USD, với vốn hóa thị trường hơn 5 triệu USD. TVL trên các giao thức DeFi của Alephium vào khoảng 756.000 USD, còn bridged TVL ở mức hơn 308.000 USD theo dữ liệu DefiLlama.
Con số này cho thấy quy mô hệ sinh thái Alephium vẫn còn khá nhỏ so với tác động của một vụ khai thác bridge. Khi giá trị khóa và thanh khoản không lớn, một sự cố bảo mật có thể làm thay đổi nhanh niềm tin thị trường đối với tài sản liên quan.
Đội ngũ Alephium cho biết hiện đang tập trung vào khôi phục và xử lý hậu quả, đồng thời sẽ cập nhật thêm trong tuần tới. Hiện chưa rõ tiến độ remediation cụ thể sẽ ảnh hưởng thế nào đến việc khôi phục hoạt động bridge.
Làn sóng tấn công cầu nối xuyên chuỗi tiếp tục gia tăng
Vụ của Alephium xảy ra trong một tháng nhiều biến động với các bridge. Cùng thời điểm, Gravity Bridge bị mất khoảng 5,4 triệu USD, trong khi Verus-Ethereum bridge thất thoát khoảng 11,5 triệu USD vào ngày 18/5. THORChain cũng ghi nhận một vụ tấn công phối hợp trị giá 10 triệu USD trước đó ít ngày.
Xu hướng này củng cố thực tế rằng bridge vẫn là một trong những mục tiêu dễ bị tấn công nhất trong crypto. Theo số liệu được nhắc đến trong bài, các bridge protocol đã chiếm 3,2 tỷ USD trong tổng 16,6 tỷ USD giá trị bị hack xuyên suốt lịch sử crypto.
Với nhà đầu tư và người dùng DeFi, điểm cần theo dõi là cách các giao thức bridge vá lỗi, quản trị khóa xác thực và kiểm soát thanh khoản sau sự cố. Đây là những yếu tố trực tiếp ảnh hưởng đến mức độ an toàn của tài sản khi di chuyển giữa các chain.
Tổng kết
Sự cố Alephium cho thấy bridge vẫn là điểm yếu lớn của hạ tầng cross-chain, đặc biệt khi lỗi kỹ thuật có thể dẫn đến việc mint tài sản trái phép và buộc dự án phải đóng bridge, rút thanh khoản và xử lý hậu quả.
