Cầu nối liên chuỗi Ethereum của Verus bị tấn công, thua lỗ DeFi trong tháng 5 vượt 20 triệu USD

Công ty an ninh blockchain Blockaid vào ngày 18/5 đã theo dõi thấy Verus—cầu nối xuyên chuỗi với Ethereum đang bị tấn công và phát cảnh báo trên X; PeckShield xác nhận vụ tấn công này gây thiệt hại khoảng 11,58 triệu USD. Theo dữ liệu DeFiLlama, trong tháng 5 đã có 12 giao thức DeFi bị tấn công, và tổng thiệt hại lũy kế trong tháng 5 đã vượt quá 20 triệu USD.

Chi tiết tấn công đã được xác nhận: tài sản bị đánh cắp và theo dõi on-chain

(Nguồn: Etherscan)

Chi tiết tài sản bị đánh cắp do PeckShield công bố:

· 103,6 tBTC

· 1.625 ETH

· 147.000 USDC

Tài sản bị đánh cắp sau đó được đổi thành 5.402,4 ETH (khoảng 11,4 triệu USD) và hiện vẫn được lưu tại địa chỉ ví của kẻ tấn công: 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9.

Nguồn vốn (đã xác nhận): Trước cuộc tấn công khoảng 14 giờ, kẻ tấn công đã nạp 1 ETH thông qua dịch vụ trộn Tornado Cash làm nguồn vốn ban đầu để che giấu nguồn gốc của quỹ.

Bối cảnh sự cố an ninh DeFi: bùng nổ liên hoàn trong tháng 5 và số liệu theo năm

Ngày 15/5/2026 (cách đây 3 ngày): Kho quỹ THORChain bị xâm nhập, hơn 10 triệu USD vốn của giao thức bị đánh cắp; THORChain cho biết số dư tài khoản người dùng không bị ảnh hưởng, cuộc điều tra vẫn đang tiếp diễn

Tháng 5/2026 (trước Verus): DeFiLlama xác nhận đã có 12 giao thức DeFi bị tấn công, tổng thiệt hại trong tháng 5 vượt 20 triệu USD

Tháng 4/2026: 12 sự cố an ninh gây thiệt hại hơn 606 triệu USD, trong đó lỗ hổng cầu nối của KelpDAO gây thiệt hại 2,92 trăm triệu USD trong một lần, là vụ tấn công đơn lẻ lớn nhất kể từ đầu năm 2026

Câu hỏi thường gặp

Tại sao kẻ tấn công lại nạp ETH ban đầu thông qua Tornado Cash?

Tornado Cash là dịch vụ trộn ETH dựa trên bằng chứng không tri thức (zero-knowledge), giúp cắt đứt nguồn gốc on-chain của tài chính, từ đó khiến việc truy vết danh tính kẻ tấn công khó hơn. Việc nạp chỉ một lượng ETH nhỏ (1 ETH) là bước chuẩn bị phổ biến trước các cuộc tấn công qua cầu nối xuyên chuỗi, dùng để thanh toán phí Gas cho các thao tác tiếp theo đồng thời làm mờ nguồn gốc của quỹ.

5.402,4 ETH bị đánh cắp hiện đã được chuyển đi chưa?

Theo báo cáo, tài sản bị đánh cắp hiện vẫn được giữ trong ví kẻ tấn công 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9 và chưa được chuyển. Tính đến thời điểm đưa tin, phía dự án Verus chưa công bố tuyên bố chính thức; khả năng thu hồi phụ thuộc vào việc theo dõi on-chain tiếp theo và khả năng can thiệp của cơ quan thực thi pháp luật.

Tình hình an ninh DeFi tháng 5 so với tháng 4 như thế nào?

Tính đến sự kiện Verus trong tháng 5, tổng thiệt hại đã vượt 20 triệu USD (12 vụ). Trong khi đó, tổng thiệt hại của 12 vụ trong tháng 4 đạt 606 triệu USD (bao gồm 292 triệu USD do KelpDAO gây ra), quy mô tháng 4 cao hơn đáng kể so với mức hiện tại của tháng 5, nhưng diễn biến tấn công liên hoàn trong tháng 5 vẫn đang tiếp diễn.