Transit Finance cho biết sẽ bồi hoàn người dùng bị ảnh hưởng sau khi một hợp đồng thông minh cũ bị khai thác và làm thất thoát khoảng 1,88 triệu USD.
Sự việc làm nổi bật rủi ro từ các hợp đồng đã ngừng sử dụng nhưng vẫn còn tồn tại trên chuỗi. Trong bối cảnh nhiều vụ tấn công khác tiếp diễn trong tháng 5, đây là một vụ việc tiếp tục đặt câu hỏi về quản trị lỗ hổng và khả năng kiểm soát rủi ro của các giao thức DeFi.
- Transit Finance nói sẽ bồi hoàn người dùng sau vụ thất thoát khoảng 1,88 triệu USD.
- Vụ khai thác liên quan đến một hợp đồng thông minh cũ từng triển khai trên TRON và đã bị ngừng từ năm 2022.
- Tháng 5 ghi nhận thêm nhiều sự cố bảo mật khác, cho thấy áp lực an ninh trên thị trường crypto vẫn ở mức cao.
Transit Finance bị khai thác từ hợp đồng cũ
Vụ việc bắt nguồn từ một hợp đồng thông minh phiên bản đầu của Transit Finance, từng được triển khai trên TRON nhưng đã bị ngừng sử dụng từ năm 2022. Theo mô tả của dự án, các lỗ hổng lịch sử trong hợp đồng này đã bị khai thác gần đây và chỉ ảnh hưởng đến một số người dùng.
Ngay khi phát hiện, đội ngũ đã tiến hành điều tra, cô lập và khắc phục. Dự án cho biết đã hoàn tất biện pháp xử lý vào ngày 12/5 và khẳng định người dùng hiện không cần thực hiện thêm hành động nào.
Phản ứng của dự án và thông điệp gửi tới ví của kẻ tấn công
Transit Finance cho biết sẽ bồi hoàn toàn bộ người dùng bị ảnh hưởng. Một thông điệp on-chain cũng đã được gửi tới ví của kẻ tấn công, trong đó nêu khả năng nhận một phần thưởng bug bounty nếu tài sản được hoàn trả.
Dự án đặt thời hạn phản hồi trong 48 giờ và nói sẽ công bố thêm chi tiết về việc bồi thường qua các kênh chính thức. Hiện chưa rõ liệu số tiền bị đánh cắp đã được di chuyển thêm hay chưa, ngoài thông tin rằng khoản tiền đang nằm trong một địa chỉ $DAI.
Tháng 5 tiếp tục xuất hiện nhiều vụ khai thác khác
Transit Finance không phải trường hợp đơn lẻ. Trong cùng tháng 5, GoPlus Security cho biết đã ghi nhận hai sự cố lộ khóa riêng trong vòng 36 giờ, gây tổng thiệt hại 238.000 USD. Một trường hợp liên quan đến trader @0xUnihax0r, mất 200.000 USD.
Cùng thời điểm, Blockaid cũng phát cảnh báo cộng đồng về Aurellion Labs, một giao thức tài sản thực được token hóa trên Arbitrum, sau khi một proxy Diamond chưa được xác minh bị khai thác vì lỗi khởi tạo chưa bảo vệ. Các sự cố này cho thấy nhiều dạng lỗ hổng khác nhau vẫn đang bị tận dụng trên thị trường.
So sánh với mức thiệt hại lớn trong tháng 4
Tháng 4 ghi nhận hơn 710 triệu USD thiệt hại trong lĩnh vực crypto, trong đó DeFi chiếm hơn 609 triệu USD do các cuộc tấn công mạng. KelpDAO là vụ DeFi lớn nhất năm 2026 tính đến thời điểm đó với mức thất thoát 293 triệu USD, tiếp theo là Drift Protocol với 285 triệu USD.
So với tháng 4, các vụ trong tháng 5 hiện nhỏ hơn về quy mô từng vụ, nhưng tần suất xảy ra vẫn cao. Điều này cho thấy rủi ro bảo mật chưa hề giảm đáng kể, đặc biệt với các giao thức có lịch sử triển khai hợp đồng cũ hoặc hạ tầng phức tạp.
Tổng kết
Vụ khai thác tại Transit Finance cho thấy các hợp đồng cũ bị bỏ quên vẫn có thể tạo ra rủi ro thực tế cho người dùng. Trong bối cảnh nhiều sự cố bảo mật tiếp diễn trong tháng 5, yếu tố cần theo dõi là cách các giao thức xử lý hợp đồng lỗi thời và cơ chế bồi hoàn sau tấn công.
