Hai giao thức DeFi Ink Finance và Renegade vừa chịu các vụ khai thác riêng rẽ với tổng thiệt hại khoảng 349.000 USD chỉ trong chưa đầy hai ngày.
Diễn biến này nối dài chuỗi sự cố an ninh trên DeFi trong cuối tháng 4 và đầu tháng 5, khi nhiều giao thức liên tiếp ghi nhận tổn thất do lỗ hổng hợp đồng hoặc rủi ro vận hành. Một số dự án đã xác nhận khắc phục hoặc bồi hoàn, nhưng dữ liệu hiện có cho thấy áp lực an ninh vẫn còn cao.
- Ink Finance bị rút khoảng 140.000 USD từ Workspace Treasury Proxy trên Polygon.
- Renegade ghi nhận thiệt hại khoảng 209.000 USD trên bản triển khai V1 cũ ở Arbitrum.
- Chuỗi sự cố mới tiếp diễn sau các vụ việc cuối tháng 4, làm dày thêm rủi ro an ninh của DeFi.
Ink Finance bị khai thác từ hợp đồng Treasury Proxy
Vụ việc của Ink Finance được Blockaid phát hiện vào ngày 11/5, khi kẻ tấn công rút khoảng 140.000 USD từ hợp đồng Workspace Treasury Proxy trên Polygon.
Cách khai thác được mô tả là dùng một hợp đồng được triển khai với địa chỉ khớp với mục claimer đã được whitelist trong Workspace controller, sau đó gọi hàm claim để vượt qua bước kiểm tra đủ điều kiện và kích hoạt chuyển tiền hợp lệ từ treasury proxy.
Hiện chưa thấy Ink Finance đưa ra tuyên bố công khai về sự cố này.
Renegade mất khoảng 209.000 USD trên bản triển khai V1 cũ
Renegade, một dark pool DEX, xác nhận bản triển khai V1 trên Arbitrum đã bị khai thác với thiệt hại khoảng 209.000 USD.
Giao thức cho biết một “white hat” đã trả lại khoảng 190.000 USD và tất cả người dùng bị ảnh hưởng sẽ được bù đắp đầy đủ. Renegade cũng nói rõ sự cố chỉ ảnh hưởng đến deployment V1 trên Arbitrum, không tác động đến các hợp đồng khác.
Theo DefiLlama, Renegade hiện còn hơn 129.500 USD TVL trên Base và Arbitrum, giảm mạnh so với mức hơn 338.000 USD trước khi xảy ra vụ hack. Dự án từng huy động khoảng 3,4 triệu USD trong vòng seed năm 2023 do Dragonfly Capital dẫn đầu.
Chuỗi sự cố cuối tháng 4 và đầu tháng 5 chưa dừng lại
Hai vụ khai thác này xuất hiện ngay sau một loạt sự cố khác bắt đầu từ cuối tháng 4. Ngày 30/4, Syndicate Labs cho biết họ gặp một sự cố bảo mật liên quan đến lộ private key, cho phép nâng cấp độc hại các bridge contract trên hai chain.
Sự cố đó dẫn đến mất khoảng 18,5 triệu SYND token và 50.000 USD tài sản khác. Đến ngày 10/5, Syndicate nói rằng đã hoàn trả đầy đủ cho các holder SYND bị ảnh hưởng trên Commons Chain, cộng thêm 15% giá trị tổn thất.
Rủi ro an ninh DeFi tiếp tục tăng
Các vụ việc gần đây cho thấy lỗ hổng hợp đồng, cấu hình quyền truy cập và rủi ro khóa riêng vẫn là những điểm yếu lớn trong DeFi. Dữ liệu được nhắc tới trong các phân tích an ninh cũng cho thấy các công cụ AI có thể làm hạ thấp rào cản tấn công, khiến việc phát hiện và khai thác lỗ hổng trở nên nhanh hơn.
Một nghiên cứu của a16z Crypto cho biết một tác nhân AI có thể tự xác định và khai thác lỗ hổng hợp đồng với tỷ lệ thành công 10% khi chỉ có địa chỉ hợp đồng và công cụ phát triển cơ bản, và tăng lên 70% khi được cung cấp kiến thức có cấu trúc về các mẫu tấn công phổ biến.
GoPlus Security cũng từng ghi nhận bốn vụ khai thác hợp đồng thông minh trên Ethereum mainnet trong 48 giờ kết thúc vào 29/4, với tổng thiệt hại vượt 1,5 triệu USD. Dữ liệu hiện có cho thấy tốc độ sự cố vẫn đang ở mức cao.
Tổng kết
Ink Finance và Renegade là hai vụ khai thác mới nhất trong chuỗi sự cố an ninh DeFi gần đây, cho thấy rủi ro vẫn tập trung vào hợp đồng thông minh, quyền truy cập và các triển khai cũ chưa được xử lý triệt để.
