Aftermath đã xác nhận một vụ khai thác nhắm vào giao thức perpetuals của mình, xảy ra trong tháng 4 – thời điểm DeFi ghi nhận nhiều sự cố bảo mật và tổn thất trải rộng.
Theo công bố của đội ngũ, nguyên nhân nằm ở một lỗi cho phép thiết lập phí builder âm, từ đó dẫn đến thiệt hại khoảng 1,14 triệu USD. Giao thức đã tạm dừng như một biện pháp phòng ngừa, trong khi các sản phẩm không bị ảnh hưởng vẫn hoạt động bình thường.
Vụ việc của Aftermath nằm trong làn sóng sự cố lớn của tháng 4
Vụ khai thác này không phải trường hợp đơn lẻ. Dữ liệu được tổng hợp cho thấy tháng 4 đã xuất hiện nhiều sự cố liên quan đến DeFi, từ lỗi hợp đồng thông minh đến vấn đề hạ tầng và quản trị quyền truy cập. Một số vụ có quy mô rất lớn, trong khi các vụ khác nhỏ hơn nhưng vẫn làm lộ ra điểm yếu ở nhiều lớp khác nhau của hệ sinh thái.
Hai sự cố lớn chiếm phần lớn thiệt hại
Phần lớn tổn thất được báo cáo trong tháng đến từ hai vụ việc. Kelp DAO liên quan đến lỗ hổng quanh rsETH, với ước tính tác động khoảng 292 triệu USD. Vấn đề được mô tả là việc đúc ra tài sản không được bảo chứng thông qua một điểm yếu liên quan đến bridge, sau đó lan sang các giao thức tích hợp. Trong trường hợp này, tiền không bị rút theo cách truyền thống, nhưng rủi ro hệ thống đã tăng lên, đặc biệt với các nền tảng cho vay đang tiếp xúc với tài sản đó.
Vụ việc còn lại liên quan đến Drift Protocol, nơi một cuộc tấn công gắn với thao túng tài sản thế chấp và quyền quản trị đã gây ra thiệt hại lớn. Các báo cáo ước tính tác động ở mức hàng trăm triệu USD, dù cấu trúc của vụ tấn công khác với một vụ khai thác điển hình. Tính chung, hai sự cố này chiếm phần lớn trong mức lỗ được ghi nhận của tháng 4, vốn vượt 600 triệu USD theo dữ liệu theo dõi hiện có.
Nhiều vụ quy mô trung bình vẫn tiếp tục xuất hiện
Bên cạnh các trường hợp lớn, một loạt vụ việc ở quy mô trung bình cũng góp phần làm tăng tổng thiệt hại. Rhea Finance ghi nhận khoảng 7,6 triệu USD tổn thất sau một cuộc tấn công liên quan đến hợp đồng token giả và thao túng oracle. Grinex Exchange báo cáo khoảng 13,7 triệu USD bị rút khỏi ví, ảnh hưởng đến nhiều địa chỉ. GiddyDefi mất khoảng 1,3 triệu USD do lỗi xác thực ủy quyền, có liên quan đến cơ chế replay chữ ký. CoW Swap cũng gặp một sự cố khoảng 1,2 triệu USD, xuất phát từ tấn công chiếm quyền tên miền, cho thấy rủi ro không chỉ nằm ở hợp đồng thông minh.
Các sự cố nhỏ hơn cho thấy lỗ hổng vẫn xuất hiện ở nhiều lớp
Một số giao thức khác như Silo Finance, Aethir và Dango cũng đã ghi nhận tổn thất liên quan đến cấu hình oracle sai, vấn đề kiểm soát truy cập hoặc lỗi hợp đồng. Ở một vài trường hợp, chẳng hạn Dango, tiền sau đó đã được khôi phục nhờ can thiệp white-hat. Gần đây hơn, Scallop và Volo Protocol cho biết đã xảy ra các sự cố liên quan đến lỗi logic hợp đồng và lộ khóa riêng tương ứng. Quy mô những vụ này nhỏ hơn, nhưng chúng cho thấy lỗ hổng vẫn xuất hiện trên nhiều tầng khác nhau của DeFi.
Rủi ro của DeFi không tập trung vào một điểm duy nhất
Các sự cố trong tháng 4 cho thấy rủi ro đang phân mảnh thay vì dồn vào một nguyên nhân duy nhất. Vấn đề đã xuất hiện ở logic hợp đồng thông minh, hệ thống quản lý khóa, hạ tầng tên miền, cầu nối liên chuỗi và các tham số thiết kế của giao thức. Dữ liệu hiện có chưa cho thấy chỉ một lớp bảo mật nào là đủ để loại bỏ hoàn toàn nguy cơ, vì các điểm yếu có thể nằm ở cả mã nguồn lẫn vận hành.
Tổng kết
Vụ khai thác của Aftermath bổ sung vào danh sách sự cố bảo mật trong tháng 4, khi DeFi đã ghi nhận hơn 600 triệu USD thiệt hại từ nhiều vụ việc khác nhau. Bức tranh chung cho thấy rủi ro đang trải đều trên nhiều lớp kỹ thuật và vận hành, nhưng dữ liệu hiện tại vẫn chưa đủ để kết luận đâu là mắt xích yếu nhất trong toàn hệ sinh thái.