10 vụ hack crypto lớn nhất năm 2024
Năm 2024 là một năm đầy thách thức đối với ngành crypto khi các vụ hack và khai thác bảo mật tiếp tục gia tăng với tổng thiệt hại lên đến gần 2,200 tỷ USD, tăng hơn 22% so với 1,800 tỷ USD của năm 2023.
Các vụ tấn công tập trung vào những lỗ hổng trong sàn giao dịch tập trung như DMM Bitcoin, WazirX, BingX, và các lỗi thiết kế giao thức DeFi. Bên cạnh mục tiêu tài chính, một số vụ tấn công còn mang yếu tố chính trị, Lazarus Group của Triều Tiên bị nghi ngờ đứng sau nhiều sự cố lớn.
DMM Bitcoin: 300 triệu USD
Vào tháng 5/2024, DMM Bitcoin, sàn giao dịch crypto của Nhật Bản, mất hơn 4,500 BTC (trị giá hơn 300 triệu USD).
Nguyên nhân được cho là liên quan đến việc đánh cắp private key hoặc "đầu độc địa chỉ" (address poisoning). Đây là vụ hack lớn thứ 8 trong lịch sử crypto và lớn nhất kể từ vụ FTX năm 2022.
WazirX: 230 triệu USD
Ngày 18/7/2024, WazirX bị hack với thiệt hại 230 triệu USD. Tin tặc khai thác điểm yếu trong ví multi-signature bằng cách thao túng giao diện của nền tảng Liminal, khiến các giao dịch độc hại được chấp thuận. Lazarus Group bị nghi ngờ là đội ngũ đứng sau vụ hack này.
Mặc dù sàn WarzixX đã cố bồi thường cho người dùng của sàn bằng nhiều chương trình thưởng và hứa trả lại tiền, token WRX của dự án vẫn bị Binance hủy niêm yết. Qua đó khiến cho WarzirX ngày càng thiếu thanh khoản hơn bởi lượng lớn tài sản trong quỹ đến từ token WRX.
Munchables: 62 triệu USD
Tháng 3/2024, tựa game play-to-earn Munchables trên blockchain Blast Layer 2 bị khai thác do lỗ hổng trong smart contract. Tin tặc tận dụng proxy contract có thể nâng cấp, chèn mã độc và chiếm hơn 62 triệu USD. Sau đó, tài sản đã được khôi phục khi tin tặc trả lại private key.
Dai whale exploit: 55 triệu USD
Tháng 8/2024, một cá voi crypto mất 55 triệu Dai stablecoin do một cuộc tấn công phishing. Tin tặc chiếm quyền kiểm soát Decentralized Service Proxy (DSProxy) và sử dụng nó để khai thác Maker Vault của nạn nhân.
Radiant Capital: 51 triệu USD
Vào tháng 10/2024, Radiant Capital bị hack lần thứ hai với thiệt hại 51 triệu USD. Tin tặc lợi dụng lỗi trong cơ chế multi-signature 3-of-11, lừa các signers ký các giao dịch độc hại. Lazarus Group tiếp tục bị nghi ngờ liên quan.
Hacker đã kết hợp nhiều kỹ năng bao gồm viết mã hợp đồng thông minh, sử dụng phần mềm Trojan để can thiệp ví cứng, nắm rõ quy trình ký giao dịch, và có kế hoạch rửa tiền để thoát khỏi hệ thống.
BingX: 43 triệu USD
Ngày 20/9/2024 sàn Bing X, bị hack mất 43 triệu USD. Tin tặc nhắm vào hot wallet và sử dụng nhiều địa chỉ để chuyển tài sản đánh cắp sang Ethereum.
Các khoản tiền bị đánh cắp được chuyển đi qua nhiều giao dịch nhỏ, cho thấy đây là một cuộc tấn công được lên kế hoạch kỹ lưỡng và có sự phối hợp cao. BingX sau đó đã thực hiện các biện pháp để khắc phục sự cố, bao gồm tăng cường bảo mật và cố gắng truy vết số tiền bị đánh cắp.
Penpie: 27 triệu USD
Tháng 9/2024, Penpie bị khai thác bằng reentrancy attack, lừa hệ thống chấp nhận token giả và rút hơn 27 triệu USDd ưới dạng rswETH, wstETH, agETH và sUSDe. Tin tặc đã rửa tiền qua Tornado Cash.
Về tác động thị trường, việc bán các tài sản bị đánh cắp đã gây ra một số thay đổi nhỏ về tỷ giá. Cụ thể, wstETH và sUSDe hầu như không bị ảnh hưởng khi giao dịch trên Uniswap V3 và Curve. Tuy nhiên, rswETH bị mất giá nhẹ trên PancakeSwap, và agETH bị depeg đáng kể trên Balancer.
Trong khi đó, token PNP của Penpie giảm mạnh tới 40%, phản ánh sự sụt giảm niềm tin của nhà đầu tư vào dự án. Ngược lại, token PENDLE của Pendle không bị ảnh hưởng về giá trị so với ETH, khẳng định rằng giao thức Pendle không chịu tác động trực tiếp hoặc trách nhiệm trong vụ việc này.
UwU Lend: 20 triệu USD
Vào tháng 06/2024, UwU Lend, một nền tảng lending phi tập trung, đã trở thành mục tiêu của một cuộc tấn công khai thác lỗ hổng trong cơ chế giá oracle, gây thiệt hại khoảng 20 triệu USD.
Cuộc tấn công này dựa vào cách UwU Lend sử dụng dữ liệu giá từ các pool thanh khoản trên Curve Finance, đặc biệt là đối với stablecoin sUSDE. Tin tặc đã khéo léo thao túng giá của sUSDE, gây rối loạn hệ thống và chiếm đoạt tài sản.
Tin tặc bắt đầu bằng cách thực hiện một flash loan, cho phép chúng vay một lượng lớn tài sản trong thời gian ngắn mà không cần tài sản thế chấp. Sau đó, chúng sử dụng khoản vay này để thực hiện một loạt giao dịch trong pool thanh khoản của Curve, làm giảm giá trị của sUSDE.
Khi giá sUSDE giảm mạnh, tin tặc đã vay một lượng lớn sUSDE từ UwU Lend, dùng các tài sản khác làm tài sản thế chấp với giá trị cao hơn giá trị thực tại thời điểm đó.
Sonne Finance: 20 triệu USD
Vào tháng 5 năm 2024, Sonne Finance, một nền tảng lending phi tập trung trên Optimism layer 2, đã bị tấn công nghiêm trọng, dẫn đến thiệt hại khoảng 20 triệu USD. Cuộc tấn công này khai thác một lỗ hổng trong thiết kế của Sonne, vốn là một fork từ Compound v2, làm nổi bật những rủi ro thường gặp ở các giao thức fork nếu không được bảo mật kỹ lưỡng.
Trong vụ tấn công này, tin tặc đã gửi một lượng nhỏ tài sản vào một thị trường trống trên Sonne Finance, gây ra sự thay đổi lớn trong tỷ lệ trao đổi giữa tài sản cơ bản và token đại diện. Sau đó, chúng khai thác sai số làm tròn trong các phép tính của hợp đồng thông minh để rút ra nhiều tài sản hơn số mà chúng đã gửi vào ban đầu.
Bằng cách lặp lại quy trình này, tin tặc đã chiếm đoạt khoảng 20 triệu USD từ giao thức.
M2 Exchange: 14 triệu USD
Tháng 10/2024, M2 Exchange tại UAE bị hack mất gần 14 triệu USD. Tin tặc tấn công các hot wallet, khiến sàn phải sử dụng tài sản riêng để bồi hoàn cho khách hàng.
Tin tặc đã khai thác lỗ hổng bảo mật trong hệ thống của M2 Exchange, xâm nhập và chiếm quyền kiểm soát các ví nóng. Chúng đã rút tài sản từ ví và chuyển tiền qua nhiều địa chỉ ví khác nhau để che giấu dấu vết.
Đọc thêm: Công nghệ AI sẽ ra sao trong năm 2025?