IPOR xác nhận vault USDC Fusion bản cũ bị hack, bồi thường đủ

Fusion (by IPOR) xác nhận Fusion USDC optimizer Vault trên Arbitrum bị tấn công hợp đồng thông minh ngày 6/1, gây thiệt hại 336.000 USDC.

Kẻ tấn công khai thác lỗ hổng thiếu kiểm tra hợp lệ trong logic fuse của phiên bản Vault cũ và lạm dụng cơ chế EIP-7702 để thao túng quyền quản trị, chèn module độc hại rồi rút tiền chuyển vào Tornado.Cash.

Diễn biến vụ tấn công và số tiền thất thoát

Vụ tấn công xảy ra ngày 6/1, làm mất 336.000 USDC từ Fusion USDC optimizer Vault trên Arbitrum.

Theo thông báo chính thức từ Fusion (by IPOR), kẻ tấn công nhắm vào một phiên bản Vault cũ và thực hiện rút tiền sau khi đưa logic độc hại vào hệ thống. Số tiền bị rút được chuyển sang Tornado.Cash.

Sự cố được mô tả là một cuộc tấn công hợp đồng thông minh, trong đó đối tượng tấn công đạt được quyền thao tác quản trị để can thiệp vào cơ chế vận hành. IPOR cho biết sự việc đã được xác nhận và đã công bố bản tổng kết kỹ thuật đầy đủ.

Nguyên nhân, phạm vi ảnh hưởng và kế hoạch bồi thường

Lỗ hổng đến từ thiếu validation trong logic fuse của phiên bản Vault cũ, kết hợp lạm dụng đặc quyền EIP-7702 để nâng quyền quản trị.

Kẻ tấn công khai thác missing validation trong fuse logic của một phiên bản Vault cũ, sau đó dùng EIP-7702 để thao túng quyền quản trị, chèn các module logic độc hại và khởi tạo giao dịch rút tiền. IPOR xác định đây là sự kết hợp giữa lỗi logic và hành vi lạm dụng đặc quyền EIP-7702.

IPOR cho biết lỗ hổng chỉ ảnh hưởng Vault cũ được triển khai cách đây 490 ngày; các vault khác không bị tác động. DAO sẽ dùng tài chính của DAO để bồi thường cho người dùng bị thiệt hại, đồng thời phối hợp các nhóm bảo mật gồm SEAL, Hexagate và Blockaid để truy vết dòng tiền.

Tuyên bố miễn trừ: Bài viết này chỉ nhằm mục đích cung cấp thông tin dưới dạng blog cá nhân, không phải là khuyến nghị đầu tư. Nhà đầu tư cần tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định và chúng tôi không chịu trách nhiệm đối với bất kỳ quyết định đầu tư nào của bạn.

Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, TinTucBitcoin.com hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.