500+ ví Ethereum bị rút cạn trong một cuộc tấn công phối hợp, tiền được rửa thông qua ThorChain

Theo các nhà điều tra on-chain, hơn 500 ví Ethereum — nhiều ví không hoạt động trong nhiều năm — đã bị rút cạn trong một cuộc tấn công phối hợp, gây thiệt hại khoảng 800.000 USD, và số tiền bị đánh cắp sau đó được rửa qua giao thức liên chuỗi ThorChain. Vụ việc nổi bật do tuổi đời của các ví bị ảnh hưởng, khi có một số ví không hoạt động tới 7 năm. Các nhà phân tích cho biết kẻ tấn công nhắm vào các ví không có hoạt động gần đây, làm dấy lên lo ngại về các lỗ hổng tiềm ẩn liên quan đến những thực hành quản lý khóa cũ hơn hoặc thông tin đăng nhập bị lộ từ trước.

Attack Targets Dormant Wallets at Scale

Dữ liệu on-chain cho thấy một nhóm địa chỉ được phối hợp đã rút tiền một cách có hệ thống từ hàng trăm ví trong một khoảng thời gian ngắn. Các ví bị ảnh hưởng nắm giữ ether và các token khác, dù nhìn chung số dư từng ví thường không lớn.

Các nhà nghiên cứu nhận thấy nhiều ví bị xâm phạm được tạo từ 4 đến 8 năm trước, gợi ý rằng các phương pháp lưu trữ cũ hoặc các khóa riêng bị lộ có thể đã góp phần tạo điều kiện. Trong một số trường hợp, người dùng bị ảnh hưởng cho biết họ không có tương tác gần đây với các ứng dụng phi tập trung hoặc các hợp đồng đáng ngờ, làm tăng thêm sự bất định về cách kẻ tấn công giành được quyền truy cập.

Kẻ tấn công không rút cạn hoàn toàn mọi ví, khiến các nhà phân tích cân nhắc khả năng hoạt động này liên quan đến nhắm mục tiêu chọn lọc dựa trên ngưỡng số dư hoặc các chiến lược trích xuất được thiết kế để tránh bị phát hiện.

Unclear Attack Vector

Một trong những điểm đáng chú ý nhất của sự cố là việc chưa xác định được điểm xâm nhập (entry point) cụ thể. Khác với các vụ rút cạn ví thường gắn với đường link lừa đảo (phishing) hoặc các phê duyệt độc hại, cuộc tấn công này hiện vẫn chưa được liên kết với một cơ chế khai thác cụ thể.

Các nhà nghiên cứu bảo mật đã đưa ra một số khả thuyết, bao gồm khóa riêng bị xâm phạm, lỗ hổng trong phần mềm ví cũ, hoặc thông tin đăng nhập bị lộ trong các vụ rò rỉ dữ liệu lịch sử và chỉ mới được khai thác gần đây.

Việc nhắm vào các ví không hoạt động đã làm gia tăng lo ngại, bởi các địa chỉ dạng này thường được xem là an toàn hơn do không tương tác với các giao thức mới. Sự kiện này thách thức giả định đó và nhấn mạnh rủi ro liên quan đến việc lưu trữ dài hạn mà không xoay vòng khóa định kỳ.

Funds Routed Through ThorChain to Obscure Trail

Sau khi đánh cắp, kẻ tấn công đã chuyển tiền qua ThorChain — một giao thức thanh khoản liên chuỗi phi tập trung cho phép hoán đổi tài sản trên nhiều blockchain mà không cần trung gian tập trung. Các nhà điều tra cho biết một phần ether bị đánh cắp đã được đổi sang các tài sản khác để làm phức tạp nỗ lực truy vết. Việc sử dụng hạ tầng liên chuỗi và hoán đổi tài sản là một thủ thuật phổ biến trong các vụ khai thác liên quan đến crypto, vì nó làm phân mảnh chuỗi giao dịch và giảm khả năng truy lại.

Security Implications and Recommendations

Sự cố này nhấn mạnh các lỗ hổng dai dẳng trong hệ thống tự giám sát (self-custody), đặc biệt đối với các ví được tạo trong giai đoạn sớm hơn của hệ sinh thái crypto. Khi ngành phát triển, các ví cũ có thể dựa trên những giả định bảo mật lỗi thời hoặc các công cụ không còn được xem là thông lệ tốt nhất.

Các nhà phân tích bảo mật đã cảnh báo rằng các ví không hoạt động có thể trở thành mục tiêu nếu khóa riêng bị lộ do entropy yếu, thiết bị bị xâm phạm hoặc rò rỉ lịch sử. Sự kiện mới nhất cho thấy tầm quan trọng của các biện pháp bảo mật chủ động, bao gồm chuyển tiền sang các ví mới được tạo và cập nhật cách thức lưu trữ.

Mặc dù tác động tài chính tương đối hạn chế so với các vụ khai thác DeFi lớn hơn, bản chất của cuộc tấn công đã thu hút sự chú ý đáng kể do chiến lược nhắm mục tiêu bất thường và nguyên nhân kỹ thuật chưa rõ ràng. Đối với những người tham gia thị trường, sự cố này củng cố tầm quan trọng của vệ sinh ví (wallet hygiene) và quản lý khóa khi kẻ tấn công tiếp tục thay đổi phương thức.

Các nhà điều tra đang tiếp tục phân tích các mẫu giao dịch nhằm xác định nguyên nhân gốc rễ. Hiểu rõ hơn về cơ chế khai thác có thể cung cấp cơ sở cho các khuyến nghị bảo mật trong tương lai và giúp ngăn chặn các sự cố tương tự. Cuộc tấn công là lời nhắc rằng chỉ riêng việc không hoạt động cũng không đảm bảo an toàn trong crypto, và ngay cả các tài sản đã “ngủ yên” lâu cũng có thể trở thành mục tiêu trong một môi trường đe dọa ngày càng phức tạp.