Một ví “cá voi” trên sàn Hyperliquid bị lộ khóa riêng, dẫn tới việc đóng vị thế HYPE trị giá 16 triệu USD và bán 100 K HYPE (khoảng 4,4 triệu USD); tổng khoảng 17 triệu USD bị rút, kèm theo 3,1 triệu USD trong Plasma Syrup Vault bị chiếm.
Hacker đã hoán đổi USDC lấy DAI và chuyển tiền sang hai ví mới, đồng thời chuyển MSYRUPUSDP trị giá khoảng 3,11 triệu USD sang ví khác, khiến tài sản bị phân tán và khó truy vết ngay lập tức.
- Khóa riêng bị lộ dẫn tới thất thoát ~17 triệu USD và 3,1 triệu USD từ vault.
- Hacker hoán đổi USDC sang DAI và chuyển tài sản sang nhiều ví mới.
- Người dùng cần rà soát khoá, di chuyển tài sản và kích hoạt bảo mật cao hơn.
Diễn biến chính của vụ việc
Ví cá voi trên Hyperliquid bị lộ private key, khiến một vị thế long HYPE trị giá 16 triệu USD bị đóng và 100 K HYPE (khoảng 4,4 triệu USD) bị bán, tổng ~17 triệu USD bị rút; thêm 3,1 triệu USD trong Plasma Syrup Vault cũng bị đánh cắp.
Hành vi cho thấy kẻ tấn công tận dụng quyền truy cập ví để thanh lý vị thế ngay lập tức và rút tài sản, tối đa hóa lợi nhuận trước khi phân tán tiền qua nhiều địa chỉ.
Dòng tiền và cách kẻ tấn công xử lý tài sản
Hacker đã đổi USDC lấy DAI rồi chuyển số DAI này vào hai ví mới; đồng thời chuyển MSYRUPUSDP trị giá ~3,11 triệu USD sang một ví khác, hiện tiền nằm phân tán ở nhiều địa chỉ.
Việc hoán đổi stablecoin và chia nhỏ sang nhiều ví là thao tác phổ biến để che dấu nguồn gốc và tăng khó khăn cho việc truy vết hoặc phong tỏa tài sản.
Khuyến nghị bảo mật cho người dùng và tổ chức
Người liên quan và cộng đồng nên ngay lập tức thu hồi các Token đã cấp phép, di chuyển tài sản sang ví an toàn (ví lạnh hoặc multisig), và thay đổi khóa riêng nếu còn khả năng kiểm soát.
Thực hành kiểm tra quyền (approvals), bật xác thực đa yếu tố, hạn chế số tiền trên ví nóng và giám sát hoạt động địa chỉ là các bước cần làm để giảm rủi ro tương tự.
Ví bị lộ private key là gì và hậu quả?
Private key bị lộ nghĩa là kẻ khác có toàn quyền điều khiển ví, có thể chuyển, bán hoặc thanh lý tài sản; hậu quả thường là mất trắng tài sản trên ví và các vị thế mở.
Tài sản đã bị chuyển có thể truy hồi không?
Việc truy hồi phụ thuộc vào nỗ lực pháp lý và sự hợp tác của các sàn hoặc dịch vụ custodial; on-chain, tiền có thể được chuyển qua cầu và giao dịch nhanh, làm việc truy hồi rất khó khăn.
Người dùng nên làm gì ngay lập tức nếu nghi lộ khoá?
Ngắt mọi quyền (revoke approvals), di chuyển tài sản còn kiểm soát sang ví mới an toàn, thông báo cho sàn nếu liên quan, và liên hệ chuyên gia pháp lý/cybersecurity nếu cần.