Ba vụ tấn công riêng biệt nhằm vào các sàn giao dịch tiền điện tử đã làm mất hơn 35,6 triệu đô la chỉ trong một ngày. Các vụ tấn công nhắm vào AFX Trade, BSquared và VerusCoin, phơi bày những lỗ hổng bảo mật nghiêm trọng trong toàn bộ lĩnh vực DeFi. Những kẻ tấn công đã chuyển phần lớn số tiền bị đánh cắp.
Các nhà điều tra blockchain cho biết mỗi vụ khai thác đều sử dụng một phương pháp tấn công rất khác nhau, làm dấy lên những lo ngại mới về tính bảo mật của cầu nối.
AFX Bridge lỗ 24,2 triệu đô la
Vụ tấn công mạng lớn nhất nhắm vào hệ thống cầu nối của AFX trên Arbitrum, nơi tin tặc đã đánh cắp 24,15 triệu USDC, trị giá khoảng 24,2 triệu đô la Mỹ.
Theo công ty bảo mật blockchain Blockaid, cầu nối đã phê duyệt việc rút tiền bằng năm chữ ký từ hệ thống bảy người xác thực của nó. Điều này cho thấy những kẻ tấn công có thể đã truy cập được vào khóa của người xác thực hoặc hệ thống phụ trợ của cầu nối.
Sau khi đánh cắp được tiền, hacker nhanh chóng chuyển USDC từ Arbitrum sang Ethereum.
Đáp lại điều này, nhóm AFX cho biết họ đang hợp tác với nhóm Arbitrum và các công ty bảo mật để điều tra vụ tấn công và truy tìm số tiền bị đánh cắp.
BSquared mất gần 3,9 triệu đô la do bị hack token B2
Cuộc tấn công thứ hai nhắm vào Mạng lưới BSquared, nơi tin tặc đã đánh cắp 8,59 triệu token B2, trị giá khoảng 3,86 triệu đô la.
Kẻ tấn công ngay lập tức bán các token B2 bị đánh cắp với giá 5.409 BNB, tương đương khoảng 3,01 triệu đô la Mỹ. Sau đó, số tiền này được chuyển sang Ethereum, chuyển đổi thành ETH và USDT, và sau đó được chuyển qua NEAR Intents và HOT Protocol để gây khó khăn hơn cho việc theo dõi.
Các nhóm an ninh tiếp tục giám sát ví điện tử trong khi cuộc điều tra vẫn đang diễn ra.
VerusCoin lại gặp sự cố khi lỗi cầu nối cũ tái xuất hiện
Cầu nối Ethereum của VerusCoin đã hứng chịu cuộc tấn công thứ ba, mất 7,54 triệu đô la tài sản, bao gồm Ether (ETH), Bitcoin được mã hóa (tBTC), USDC, USDT, DAI và một số token khác.
Theo SlowMist , cuộc tấn công đã tái sử dụng lỗi hợp đồng đường dẫn nhập khẩu tương tự mà tin tặc đã khai thác trong một vụ tấn công khác trị giá 11,5 triệu đô la vào tháng 5 năm 2026. Điểm yếu này cho phép kẻ tấn công kích hoạt các khoản thanh toán không được đảm bảo, nghĩa là cầu nối đã giải phóng tài sản mà không kiểm tra xem liệu có đủ tiền để hỗ trợ các giao dịch hay không.
Sau khi rút hết tiền khỏi cây cầu, kẻ tấn công đã chuyển đổi số tài sản đánh cắp được thành 3.916 ETH, trị giá khoảng 7,5 triệu đô la, trước khi chuyển tiền đến Tornado Cash, khiến việc thu hồi trở nên khó khăn hơn nhiều.
