Tin tức Gate, ngày 26 tháng 4 — Scallop Protocol, một nền tảng cho vay trên blockchain Sui, đã gặp một lỗ hổng khai thác cho vay nhanh (flash loan) nhắm vào một hợp đồng nhánh (side contract) đã bị loại bỏ (deprecated) được liên kết với sSUI rewards pool, dẫn đến thiệt hại khoảng $142,000 (150,000 SUI). Cuộc tấn công đã khai thác thao túng oracle price feed để làm suy giảm giả tạo tỷ giá trao đổi SUI/USDC và vay tài sản ở mức giá bị bóp méo, với kẻ tấn công hoàn trả flash loan trong cùng một giao dịch và bỏ túi phần chênh lệch.
Vấn đề cốt lõi bắt nguồn từ một hợp đồng V2 đã bị loại bỏ được triển khai vào tháng 11 năm 2023 nhưng vẫn có thể gọi trên chuỗi. Trong hợp đồng lỗi thời này, một biến quan trọng có tên “last_index” đã không bao giờ được khởi tạo khi tạo tài khoản mới. Lỗi này cho phép kẻ tấn công nhận phần thưởng như thể họ đã stake từ khi pool được thành lập. Khi chỉ số phần thưởng đã tăng lên 1,19 tỷ trong 20 tháng, kẻ tấn công stake 136.000 sSUI nhưng nhận được điểm tín dụng cho 162 nghìn tỷ điểm. Do rewards pool vận hành với tỷ giá trao đổi 1:1, các điểm này chuyển đổi trực tiếp thành 162.000 SUI trị giá phần thưởng. Pool chỉ chứa 150.000 SUI và toàn bộ quỹ đã bị rút sạch (drained). Dữ liệu on-chain cho thấy các khoản tiền bị đánh cắp đã nhanh chóng được chuyển qua một dịch vụ trộn (mixing) khiến việc khôi phục trở nên khó khăn.
Nhóm của Scallop đã phản hồi bằng cách tạm dừng hoạt động trước khi mở khóa lại các hợp đồng cốt lõi và khôi phục toàn bộ hoạt động. Giao thức xác nhận rằng lỗ hổng chỉ bị cô lập trong hợp đồng rewards đã bị loại bỏ và không ảnh hưởng đến giao thức lõi hay tiền gửi của người dùng, với tất cả quỹ vẫn an toàn. Sau đó, kẻ tấn công đã liên hệ với nhóm và đề nghị trả lại 80% số tiền bị đánh cắp để đổi lấy một phần thưởng theo kiểu white-hat, và sự việc hiện đang được điều tra. Nhóm sẽ rà soát cách thức lỗ hổng đã lọt qua phát hiện trong các cuộc kiểm toán trước đó của các công ty bao gồm OtherSec và MoveBit.
Giá SUI vẫn vững chắc sau vụ khai thác, tăng khoảng 2% trong 24 giờ sau cuộc tấn công và giao dịch ở mức $0,94 với khối lượng giao dịch hằng ngày khoảng $187 triệu. Sự cố phản ánh một xu hướng rộng hơn trong tháng 4 năm 2026, khi các vụ khai thác DeFi lớn nhắm vào các hợp đồng và lớp hạ tầng đã bị loại bỏ thay vì logic của giao thức lõi, với tổng mức lỗ vượt quá $600 triệu trên 12 sự cố lớn trong tháng đó.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Do Kwon bị tuyên án 15 năm tại Mỹ, sự sụp đổ của Terra đã kích hoạt hơn 40 tỷ USD thua lỗ
Theo Digital Asset, Do Kwon, nhà sáng lập Terraform Labs, đã bị một thẩm phán liên bang của Mỹ tuyên án 15 năm tù vào ngày 12/12/2024 vì các tội danh gian lận và rửa tiền. Kwon dự kiến sẽ thụ án khoảng sáu năm trước khả năng bị dẫn độ sang Hàn Quốc, sau đó theo dõi một
GateNews2giờ trước
Bubblemaps: Token MYSTERY Có Dấu Hiệu Về Quyền Kiểm Soát Tập Trung, 90 Ví Nắm 90% Tổng Cung Tại Thời Điểm Ra Mắt
Theo nền tảng phân tích on-chain Bubblemaps, token MYSTERY cho thấy dấu hiệu kiểm soát tập trung ngay từ thời điểm ra mắt, với nền tảng này mô tả nó là một “vụ lừa đảo theo sách giáo khoa”. Bubblemaps tiết lộ rằng khoảng 90 ví đã tích lũy gần 90% tổng cung của token tại thời điểm ra mắt và đã được
GateNews4giờ trước
Kẻ tấn công Wasabi Protocol chuyển 5,9 triệu USD tiền bị đánh cắp sang Tornado Cash vào ngày 5 tháng 5
Theo nhà phân tích on-chain Specter, các kẻ tấn công của giao thức Wasabi đã chuyển khoảng 5,9 triệu USD tiền bị đánh cắp sang Tornado Cash vào ngày 5/5, hoàn tất một hoạt động trộn tiền tập trung. Số tiền này theo một lộ trình chuyển tiền phức tạp nhiều giai đoạn, liên quan đến các vụ xâm nhập trước đó tại KelpDAO và
GateNews7giờ trước
Ripple chia sẻ thông tin tình báo về các vụ hack của Triều Tiên khi các cuộc tấn công tiền mã hóa chuyển sang kỹ thuật lừa đảo xã hội
Theo thông báo của Crypto ISAC hôm thứ Ba, Ripple đang chia sẻ thông tin tình báo nội bộ về các tác nhân đe doạ liên quan đến Triều Tiên với ngành crypto, bao gồm các tên miền gắn với gian lận, địa chỉ ví và các chỉ báo xâm nhập từ các chiến dịch tấn công gần đây.
Động thái này diễn ra sau khoản 280 triệu USD D
GateNews9giờ trước
ZachXBT: Tokenlon đã tạo điều kiện cho Quỹ Nhóm Lazarus $45M
Vào ngày 4 tháng 5 năm 2026, nhà điều tra on-chain ZachXBT đã công bố một báo cáo chi tiết cáo buộc nền tảng tổng hợp sàn giao dịch phi tập trung Tokenlon đã tạo điều kiện cho việc chuyển dịch các khoản tiền bất hợp pháp liên quan đến Nhóm Lazarus, tổ chức tin tặc Bắc Triều Tiên gắn liền với nhiều vụ cướp tài sản tiền mã hóa lớn. Theo báo cáo của ZachXBT's
CryptoFrontier10giờ trước
