Wasabi Protocol là mục tiêu mới nhất trong làn sóng các vụ khai thác tăng nhanh trong tháng 4, với thiệt hại ước tính lên tới 5,5 triệu USD tại thời điểm được ghi nhận.
Giao thức DeFi này phục vụ giao dịch và cho vay, đồng thời có một khu vực riêng cho các tài sản ít thanh khoản hơn như NFT và token meme. Vì hoạt động trên nhiều blockchain, Wasabi Protocol trở thành một điểm bị tấn công trong đợt sự cố lần này.
- Wasabi Protocol bị khai thác trên nhiều chain, gồm Ethereum, Base, Berachain và Blast.
- Ước tính thiệt hại ban đầu lên tới 5,5 triệu USD, trong khi TVL trước đó là 8,52 triệu USD.
- Dấu hiệu hiện tại nghiêng về việc lộ khóa riêng tư, không phải lỗi trực tiếp từ hợp đồng thông minh.
Diễn biến ban đầu của vụ việc
Ngay khi phát hiện tổn thất, dự án chưa công bố chi tiết về cách thức bị tấn công. Wasabi Protocol chỉ đưa ra yêu cầu người dùng ngừng sử dụng mọi hợp đồng thông minh của dự án trong lúc kiểm tra sự cố.
Vì sao vụ tấn công này được chú ý
Trước khi bị khai thác, Wasabi Protocol có tổng giá trị khóa lại là 8,52 triệu USD. Mức này không lớn so với các giao thức DeFi hàng đầu, nhưng vẫn đủ để trở thành mục tiêu. Sự việc xảy ra sau vụ tấn công gần đây vào Aftermath Finance, cho thấy các protocol nhỏ hơn cũng đang chịu rủi ro trong chuỗi sự cố liên tiếp.
Phạm vi bị ảnh hưởng trên nhiều mạng
PeckShield cho biết Wasabi Protocol bị khai thác trên nhiều chain, gồm Ethereum, Base, Berachain và Blast. Các tài sản bị rút ra trải rộng qua nhiều vault khác nhau, với danh mục gồm USDC, WETH, REKT, PEPE trên Ethereum; WETH, USDC và cbBTC trên Base; WETH và USDB trên Blast; cùng Wrapped BERA (WBERA) và HONEY trên Berachain.
Dấu hiệu nghiêng về lộ khóa riêng tư
Những người theo dõi on-chain cho rằng nguyên nhân có khả năng cao là một khóa riêng tư bị lộ. Dữ liệu được nêu cho thấy ví bị ảnh hưởng kiểm soát các vault có thể nâng cấp và không cần chờ xác nhận đa chữ ký, timelock hay quy trình bỏ phiếu. Theo Blockaid, kẻ tấn công đã lấy được khóa riêng tư, giành quyền quản trị cho một số vault rồi rút toàn bộ token còn thanh khoản.
Ảnh hưởng đối với người cung cấp thanh khoản
Tổn thất của Wasabi đến từ các vault bị rút sạch, khiến giá trị của LP-share token từ các vault bị ảnh hưởng gần như bằng 0. Với người dùng cuối, ví có thể vẫn hiển thị giá trị sổ sách, nhưng các token đó không thể quy đổi. Dữ liệu hiện có cũng cho thấy một phần tài sản, gồm MOG, NEIRO và ZYN, bị ảnh hưởng; riêng WETH chiếm khoảng 1,9 triệu USD trong tổng thiệt hại.
Dòng tiền sau vụ khai thác
Sau khi rút tài sản từ các vault, kẻ tấn công đã chuyển tiền sang Ethereum, gom lại và một phần được đưa qua Tornado Cash. Đây là chi tiết cho thấy dòng tiền sau vụ việc đã được làm rối thêm, nhưng hiện chưa có thêm dữ liệu để kết luận đầy đủ về toàn bộ đường đi của số tiền.
Tác động với các bên liên quan khác
Virtuals Protocol, đơn vị thường triển khai các token AI agent mới thông qua Wasabi, cho biết họ không bị mất tiền. Tuy vậy, dự án này đã chủ động dừng mọi tương tác với các hợp đồng vault của Wasabi để tránh rủi ro lan sang hệ thống của mình.
Những gì vẫn chưa rõ
Hiện chưa có kết luận công khai về cách khóa riêng tư bị lộ, cũng chưa có báo cáo hậu kiểm giải thích toàn bộ hướng tấn công. Dữ liệu hiện có mới cho thấy phạm vi tài sản bị ảnh hưởng, các chain liên quan và giả thuyết kỹ thuật có khả năng nhất. Để kết luận chắc hơn, cần thêm thông tin từ phía dự án và phân tích kỹ thuật chi tiết hơn về cơ chế bị khai thác.
Tổng kết
Vụ việc tại Wasabi Protocol cho thấy các protocol DeFi quy mô nhỏ vẫn có thể chịu thiệt hại lớn nếu quyền kiểm soát vận hành bị xâm phạm. Điểm then chốt hiện nay không nằm ở việc hợp đồng có lỗi công khai hay không, mà ở khả năng một khóa riêng tư hoặc quyền quản trị đã bị lộ, khiến nhiều vault trên nhiều chain cùng bị rút sạch.
