Hợp đồng tiền điện tử DBXen bị tấn công sáng 12/03, thiệt hại ước tính khoảng 150.000 USD do lỗi xử lý không nhất quán danh tính sender trong giao dịch ERC2771.

Sự cố xuất phát từ việc dùng hai nguồn sender khác nhau trong cùng luồng đốt token, làm sai lệch trạng thái theo chu kỳ và phá vỡ logic tính toán của các hàm nhận phí và phần thưởng, tạo cơ hội rút tiền vượt mức.

NỘI DUNG CHÍNH

DBXen bị tấn công, tổn thất ước tính 150.000 USD.
Lỗi do không nhất quán _msgSender() và msg.sender trong ERC2771.
Phá vỡ claimFees()/claimRewards(), cho phép rút dư tiền.

Nguyên nhân kỹ thuật: lệch sender giữa _msgSender() và msg.sender

Vấn đề cốt lõi là danh tính sender không đồng nhất trong giao dịch ERC2771, khiến cập nhật trạng thái cho user và forwarder bị lệch nhau.

Trong hàm burnBatch(), decorator gasWrapper() dùng _msgSender() (user thực) để cập nhật state. Nhưng callback onTokenBurned() lại dùng msg.sender (forwarder). Hệ quả: accCycleBatchesBurned được ghi nhận cho user, còn lastActiveCycle bị cập nhật nhầm cho forwarder.

Sự không nhất quán này làm đứt mạch logic theo chu kỳ, tạo ra trạng thái on-chain sai: dữ liệu burned batches và chu kỳ hoạt động không còn khớp cùng một thực thể, dẫn đến các phép tính tiếp theo dựa trên giả định sai.

Xem thêm: Kresus Labs huy động 13 triệu USD cho hạ tầng ví số

Cách lỗi dẫn đến rút tiền vượt mức: sai logic claimFees và claimRewards

Khi chạy updateStats() cho user, hợp đồng hiểu nhầm còn burned batches chưa xử lý, làm tính sai rewards và fees, giúp kẻ tấn công rút thêm tiền để hưởng lợi.

Cụ thể, vì accCycleBatchesBurned đã được cập nhật cho user nhưng lastActiveCycle của user không được cập nhật tương ứng, hợp đồng suy luận sai rằng vẫn tồn tại burned batches chưa được xử lý trong chu kỳ. Từ đó, logic của claimFees() và claimRewards() bị phá vỡ, dẫn đến việc tính toán phần thưởng/phí cao hơn thực tế.

Theo giám sát, vụ tấn công được ghi nhận vào sáng 12/03 và ước tính gây thiệt hại khoảng 150.000 USD.

Tuyên bố miễn trừ: Bài viết này chỉ nhằm mục đích cung cấp thông tin dưới dạng blog cá nhân, không phải là khuyến nghị đầu tư. Nhà đầu tư cần tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định và chúng tôi không chịu trách nhiệm đối với bất kỳ quyết định đầu tư nào của bạn.

Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, TinTucBitcoin.com hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.