Những lỗ hổng trong Hợp đồng thông minh đã gây ra 5 vụ hack Tiền điện tử lớn nhất trong lịch sử như thế nào?

Lỗ hổng hợp đồng thông minh dẫn đến thiệt hại hơn $2 tỷ từ 5 vụ hack lớn nhất

Cảnh quan tiền điện tử đã chứng kiến một cú sốc tàn khốc trong quý 1 năm 2025, với các lỗ hổng hợp đồng thông minh dẫn đến thiệt hại hơn $2 tỷ. Các lỗ hổng bị tin tặc khai thác đã tiết lộ những điểm yếu an ninh nghiêm trọng trong việc triển khai công nghệ blockchain. Các lỗi kiểm soát truy cập đã nổi lên như là lỗ hổng gây thiệt hại nhất, chiếm tới 1,63 tỷ đô la thiệt hại.

Sự phân bố tổn thất qua các loại lỗ hổng khác nhau tạo ra một bức tranh đáng lo ngại:

| Loại lỗ hổng | Thiệt hại tài chính | Ví dụ nổi bật | |-------------------|----------------|-----------------| | Kiểm Soát Truy Cập | $953.2 triệu | Hacked Bybit $1.4B | | Lỗi Logic | $63.8 triệu | Nhiều giao thức | | Tấn công tái nhập | $35.7 triệu | Nền tảng DeFi | | Tấn công Flash Loan | 33,8 triệu đô la | Các giao thức cho vay | | Tràn số nguyên | Chưa công bố | Nhiều chuỗi |

Cuộc tấn công Bybit đứng đầu là vụ hack đáng kể nhất, nơi những kẻ tấn công đã xâm phạm các ví đa chữ ký wallet dẫn đến việc đánh cắp 1,4 tỷ đô la. Các chuyên gia an ninh đã lưu ý rằng đây là quý thứ ba liên tiếp mà các vụ hack liên quan đến ví đa chữ ký đứng đầu bảng xếp hạng khai thác. Theo báo cáo của công ty an ninh mạng Hacken, trong khi các lỗ hổng mã hợp đồng thông minh vẫn là vấn đề, xu hướng hiện tại cho thấy "hầu hết thiệt hại hiện nay được gây ra bởi sự cố ở con người, quy trình hoặc hệ thống quyền." Sự chuyển mình này làm nổi bật bản chất đang phát triển của các mối đe dọa an ninh tiền điện tử, đòi hỏi sự cảnh giác tăng cường trên tất cả các khía cạnh của việc triển khai blockchain.

Các sàn giao dịch tập trung là mục tiêu chính trong 3 trong 5 cuộc tấn công lớn

Khi phân tích các vụ vi phạm bảo mật tiền điện tử lớn, các sàn giao dịch tập trung trở thành những điểm dễ bị tổn thương nhất trong hệ sinh thái. Dữ liệu từ những năm gần đây cho thấy một mô hình đáng lo ngại, với ba trong số năm cuộc tấn công lớn nhất cụ thể nhắm vào các nền tảng sàn giao dịch tập trung.

Ví dụ, vào tháng 12 năm 2021, các hacker đã xâm nhập vào hệ thống an ninh của Bitmart, dẫn đến tổn thất lớn lên đến $196 triệu. Cuộc tấn công này đã khai thác các lỗ hổng trong cơ sở hạ tầng ví nóng của sàn giao dịch. Tương tự, một sàn giao dịch tập trung lớn khác đã chịu đựng một vụ trộm cắp chấn động lên đến $305 triệu khi DMM Bitcoin bị xâm phạm vào tháng 5 năm 2024, biến đây thành một trong những vụ khai thác tiền điện tử lớn nhất được ghi nhận.

| Sàn giao dịch | Ngày | Số tiền bị đánh cắp | Kênh tấn công | |---------|------|--------------|--------------| | DMM Bitcoin | Tháng 5 năm 2024 | $305 triệu | Thỏa hiệp khóa riêng | | Bitmart | Tháng 12 năm 2021 | $196 triệu | Vi phạm ví nóng | | Sàn giao dịch không tên | Tháng 10 năm 2022 | $570 triệu | Khai thác hợp đồng thông minh |

Ngành công nghiệp đã phản ứng bằng cách thực hiện các giao thức bảo mật nâng cao sau những sự cố này. Các nền tảng tập trung đã củng cố kiểm soát truy cập nội bộ, cải thiện đào tạo nhân viên và đầu tư đáng kể vào công nghệ quản lý ví. Các giải pháp lưu trữ lạnh, ví đa chữ ký và quỹ bảo hiểm đã trở thành những thực tiễn bảo mật tiêu chuẩn khi các sàn giao dịch làm việc để xây dựng lại niềm tin với người dùng. Tần suất và quy mô của những cuộc tấn công này cũng đã thúc đẩy các cơ quan quản lý tập trung hơn vào các yêu cầu bảo mật ví sàn giao dịch trong toàn bộ lĩnh vực tiền điện tử.

Các lỗ hổng tái nhập và cho vay chớp nhoáng là những vector tấn công phổ biến trong nhiều sự cố.

Phân tích các cuộc tấn công DeFi cho thấy rằng các cuộc tấn công tái nhập và vay chớp nhoáng đã xuất hiện như là những vector tấn công chiếm ưu thế trong nhiều sự cố bảo mật. Các lỗ hổng tái nhập cho phép kẻ tấn công gọi lại các hàm nhiều lần trước khi các thực thi trước đó hoàn tất, trong khi vay chớp nhoáng cung cấp vốn cần thiết để thực hiện các cuộc tấn công quy mô lớn mà không cần tài sản thế chấp. Sự kết hợp của các kỹ thuật này đã chứng minh là đặc biệt tàn phá, như đã được chứng minh bởi một số vi phạm giao thức nổi bật.

Các cuộc tấn công vay chớp nhoáng thường khai thác các lỗ hổng thông qua một quy trình nhiều bước, trước tiên vay một số tiền lớn, sau đó thao túng các oracle giá hoặc khai thác các lỗi logic hợp đồng, và cuối cùng rút lợi nhuận trước khi hoàn trả khoản vay - tất cả đều trong một giao dịch duy nhất. Các mẫu khai thác phổ biến nhất bao gồm việc rút cạn thanh khoản từ các pool và thao túng oracle giá.

| Loại Tấn Công | Lỗ Hổng Chính | Tác Động | |-------------|----------------------|--------| | Tái nhập chức năng đơn | Hàm giống nhau được gọi nhiều lần | Rút tiền trực tiếp | | Tái nhập chức năng chéo | Khai thác nhiều chức năng | Manipulation trạng thái phức tạp | | Tái xâm nhập hợp đồng chéo | Lỗ hổng giữa các giao thức | Các sự cố liên tiếp | | Tái nhập chỉ đọc | Khai thác đọc trạng thái | Cơ sở tính toán sai |

Các chuyên gia bảo mật khuyên nên triển khai các oracle Giá trung bình theo thời gian (Time-Weighted Average Price) thay vì giá giao ngay và tuân thủ mẫu Kiểm tra-Hiệu ứng-Interactions để giảm thiểu những rủi ro này. Việc kiểm tra toàn diện, bao gồm các kịch bản mô phỏng vay nhanh, đã trở thành điều thiết yếu cho việc phát triển giao thức DeFi hiện đại.