Wasabi Protocol bị rút cạn 4,5 triệu USD do nghi vấn lộ admin key

📄Toàn văn bài viết· Được trích xuất tự động bởi trafilaturaGemini 翻譯5129 từ

Wasabi Protocol bị rút cạn 4,5 triệu USD do nghi vấn lộ khóa quản trị (admin key) Vụ tấn công sử dụng kịch bản tương tự như vụ vi phạm 285 triệu USD của Drift đầu tháng này: một khóa deployer bị xâm phạm mà không có timelock hoặc multisig, dẫn đến việc rút cạn tiền. Những điều cần biết: - Wasabi Protocol, một nền tảng giao dịch perpetuals trên Ethereum và Base, đã bị rút cạn khoảng 4,55 triệu USD sau khi kẻ tấn công xâm phạm khóa quản trị deployer của nó. - Kẻ tấn công đã sử dụng khóa bị xâm phạm để tự cấp quyền quản trị và thay đổi các hợp đồng vault của Wasabi thành các phiên bản độc hại, rút tài sản từ nhiều pool trên cả hai chuỗi. - Sự cố này, vốn thiếu các biện pháp bảo vệ như timelock hoặc multisig cho vai trò quản trị, đã góp phần vào tổng thiệt hại DeFi hơn 770 triệu USD trong năm nay và có những điểm tương đồng với các vụ khai thác lộ khóa gần đây tại Drift Protocol và Kelp DAO. DeFi không thể ngăn chặn tình trạng chảy máu tài sản, và Wasabi Protocol là cái tên mới nhất nhận ra lý do tại sao. Giao thức này, một nền tảng giao dịch perpetuals được xây dựng trên Ethereum và Base, đã bị rút cạn khoảng 4,55 triệu USD vào thứ Năm sau khi kẻ tấn công xâm phạm khóa deployer của nó, theo công ty bảo mật Blockaid cho biết trong một bài đăng trên X. Vụ hack là sự cố mới nhất trong một tháng đã gây ra hơn 605 triệu USD thiệt hại cho DeFi qua ít nhất 12 vụ việc. Cuộc tấn công phản ánh sát sao vụ khai thác Drift Protocol vào ngày 1 tháng 4, khi những kẻ tấn công liên quan đến Triều Tiên đã sử dụng khóa quản trị bị xâm phạm để rút 285 triệu USD từ sàn giao dịch perpetuals dựa trên Solana. Cơ chế hoạt động thông qua một tài khoản sở hữu bên ngoài (EOA) có tên là wasabideployer.eth, tài khoản này nắm giữ ADMIN_ROLE duy nhất trong hệ thống cấp quyền của Wasabi. EOA là một ví được kiểm soát bởi khóa cá nhân, trái ngược với hợp đồng thông minh. Bất kỳ ai giữ khóa đều kiểm soát ví. Khi kẻ tấn công có quyền truy cập vào khóa deployer, chúng đã tự cấp quyền quản trị mà không có độ trễ bằng cách gọi grantRole trên hợp đồng cấp quyền. Hợp đồng hỗ trợ của chúng sau đó đã nâng cấp các perp vault và Long Pool của Wasabi thành các triển khai độc hại để rút cạn số dư, Blockaid cho biết. Vụ khai thác dựa trên một tiêu chuẩn có tên là Universal Upgradeable Proxy Standard (UUPS), cho phép một hợp đồng thông minh thay đổi mã cơ bản của nó trong khi vẫn giữ nguyên địa chỉ. UUPS được sử dụng rộng rãi vì nó cho phép các nhà phát triển sửa lỗi mà không cần di chuyển người dùng. Nhược điểm là nếu kẻ tấn công kiểm soát quyền quản trị, chúng có thể thay thế logic của hợp đồng bằng bất cứ thứ gì chúng muốn, bao gồm cả mã được thiết kế để đánh cắp tiền. Wasabi không có timelock hoặc multisig để bảo vệ vai trò quản trị, Blockaid cho biết. Timelock buộc phải có độ trễ giữa thời điểm hành động quản trị được công bố và thời điểm nó thực thi, giúp người dùng có thời gian phản ứng. Multisig yêu cầu nhiều người ký để phê duyệt một thay đổi. Wasabi không có cả hai, khiến một khóa duy nhất nắm giữ toàn quyền kiểm soát giao thức. 🚨 Hệ thống phát hiện khai thác của Blockaid đã xác định một vụ khai thác lộ khóa quản trị đang diễn ra trên @wasabi_protocol trên Ethereum và Base. Wasabi: Deployer EOA đã được sử dụng để cấp ADMIN_ROLE cho một hợp đồng hỗ trợ của kẻ tấn công, sau đó UUPS-upgraded các perp vault và LongPool thành… — Blockaid (@blockaid_) ngày 30 tháng 4 năm 2026 Các hợp đồng bị xâm phạm bao gồm các vault wWETH, sUSDC, wBITCOIN, wPEPE và Long Pool của Wasabi trên Ethereum, cộng với các vault sUSDC, wWETH, sBTC, sVIRTUAL, sAERO và sBRETT trên Base, theo Blockaid. Người dùng nắm giữ token Wasabi LP được khuyến cáo thu hồi mọi phê duyệt đang hoạt động đối với các hợp đồng vault vì các tài sản cơ bản hỗ trợ các token đó đã bị rút cạn hoặc vẫn đang gặp r

Trạng thái dữ liệu✓ Đã trích xuất toàn vănĐọc bài gốc (CoinDesk)

🔍Sự kiện tương tự trong lịch sử· Đối chiếu từ khóa + tài sản6 tin

2026-04-30

Wasabi Protocol bị rút cạn 4,5 triệu USD do nghi vấn lộ admin key

Độ tương đồng 430%關鍵字 apparent/drained/million

2026-04-30

Wasabi Protocol mất 5 triệu USD sau khi kẻ tấn công chiếm đoạt khóa quản trị Deployer trên 3 chuỗi

Độ tương đồng 230%關鍵字 key/protocol/wasabi

2026-04-30

Vụ khai thác 5 triệu USD của Wasabi Protocol củng cố giả thuyết về hacker DeFi sử dụng AI

Độ tương đồng 180%關鍵字 protocol/million/wasabi

2026-04-30