DeFi · ✦ AI tổng hợp
Slowmist: Lỗ hổng bảo mật trong mã nguồn DIP Token khiến hacker chiếm đoạt khoảng 111.000 USDC
Công ty bảo mật blockchain Slowmist vừa công bố báo cáo về vụ tấn công nhắm vào DIP Token — tài sản tiện ích cốt lõi của hệ sinh thái Etherisc. Kẻ tấn công đã khai thác một lỗi lập trình để rút ruổng khoảng 111.097,6 USDC thông qua một giao dịch chuyển tiền được thực thi hai lần.
Slowmist: Lỗi mã nguồn đơn lẻ khiến DIP Token bị rút ruổng 111.000 USDC
Theo thông tin từ Slowmist, một lỗ hổng bảo mật nghiêm trọng trong mã nguồn của DIP Token — tài sản tiện ích không thể thiếu của hệ sinh thái Etherisc — đã bị kẻ tấn công khai thác để chiếm đoạt tổng cộng 111.097,6 USDC, tương đương khoảng 111.000 USD.
Giao dịch chuyển tiền bị thực thi hai lần
Trong báo cáo tình báo mối đe dọa (threat intelligence alert), Slowmist chỉ rõ nguyên nhân gốc rễ của vụ việc nằm ở một dòng mã duy nhất bị thiếu trong hợp đồng thông minh (smart contract) của DIP Token. Lỗi này cho phép một giao dịch chuyển tiền được thực hiện hai lần trong cùng một phiên, tạo điều kiện để kẻ tấn công nhân đôi số tiền rút ra khỏi giao thức.
Cụ thể, khi thực hiện một giao dịch hợp lệ, hợp đồng thông minh đã không kiểm tra hoặc không ghi nhận trạng thái đã xử lý của giao dịch đó, khiến bất kỳ ai có khả năng gọi hàm phù hợp đều có thể kích hoạt lại quy trình chuyển tiền một cách tùy ý.
Etherisc và vai trò của DIP Token
DIP Token là token tiện ích (utility token) chủ chốt trong hệ sinh thái Etherisc — một nền tảng phi tập trung cung cấp các sản phẩm bảo hiểm và quản lý rủi ro trên blockchain. Token này đóng vai trò then chốt trong việc vận hành các dịch vụ của giao thức, bao gồm staking, governance và thanh toán phí bảo hiểm.
Vụ khai thác lần này cho thấy mối quan ngại ngày càng lớn về chất lượng mã nguồn của các hợp đồng thông minh trong không gian DeFi, đặc biệt khi một lỗi chỉ vỏn vẹn một dòng code cũng có thể dẫn đến thiệt hại hàng trăm nghìn USD cho người dùng.
Khuyến nghị từ Slowmist
Slowmist khuyến nghị các nhà phát triển cần thực hiện kiểm toán mã nguồn (code audit) toàn diện trước khi triển khai bất kỳ hợp đồng thông minh nào ra mainnet. Đồng thời, cơ chế kiểm tra trạng thái giao dịch (nonce tracking) và giới hạn thời gian (rate limiting) nên được áp dụng để ngăn chặn việc một hàm bị gọi nhiều lần trái phép.
Tính đến thời điểm hiện tại, đội ngũ Etherisc chưa đưa ra tuyên bố chính thức về vụ việc. Cộng đồng đang tiếp tục theo dõi diễn biến và chờ đợi thông tin cập nhật từ phía dự án.
---
Bài viết được tổng hợp dựa trên thông tin từ Slowmist Threat Intelligence. Giá trị thiệt hại tính theo thời điểm xảy ra vụ việc.
/ Bài viết liên quan
CEO Flare nhắm mục tiêu tích hợp Bitcoin sau cột mốc 150 triệu FXRP
Sau thành công với FXRP khi đạt 150 triệu token lưu hành, CEO Hugo Philion của Flare Network cho biết Bitcoin sẽ là mục tiêu tích hợp tiếp theo trong chiến lược mở rộng DeFi của nền tảng. Động thái này đánh dấu bước chuyển quan trọng trong lộ trình phát triển của Flare.
Lido Core nâng cấp lớn: Cải thiện bền vững và tối ưu mạng Ethereum
Lido công bố nâng cấp Lido Core với nhiều cải tiến quan trọng, bao gồm Curated Module v2 hỗ trợ validator 0x02, cơ chế bonding và xử phạt mới, cùng mở rộng Community Staking Module. Nâng cấp này dự kiến giảm khoảng 29% số lượng tin nhắn attestation mỗi epoch, góp phần giảm tải đáng kể cho mạng Ethereum.
Garden Finance tạm ngừng app sau sự cố khai thác 450.000 USD từ solver
Garden Finance đã tạm thời vô hiệu hóa ứng dụng sau khi Blockaid báo cáo một cuộc tấn công trị giá khoảng 450.000 USD. Kẻ tấn công xâm phạm cơ sở dữ liệu off-chain của một solver độc lập và chèn các bản ghi hoán đổi giả mạo. Phía dự án khẳng định không có quỹ người dùng hay hợp đồng thông minh nào bị ảnh hưởng.
DeFi Aggregator Odos Đóng Cửa, Người Dùng Có 5 Ngày Rút Tiền
Nhóm phát triển Odos, nền tảng tổng hợp giao dịch phi tập trung, thông báo ngừng hoạt động toàn bộ dịch vụ vào ngày 30 tháng 7 năm 2026. Người dùng chỉ còn 5 ngày để di chuyển tài sản trước khi ứng dụng chuyển sang chế độ chỉ đọc từ ngày 27 tháng 7.