Wasabi Protocol mất 5 triệu USD sau khi kẻ tấn công chiếm đoạt khóa quản trị Deployer trên 3 chuỗi

📄Toàn văn bài viết· Được trích xuất tự động bởi trafilaturaGemini 翻譯5527 từ

Một kẻ tấn công đã giành quyền kiểm soát khóa quản trị (admin key) của Wasabi Protocol vào thứ Năm, rút khoảng 4,5 triệu đến 5,5 triệu USD từ các perp vault và liquidity pool trên ba blockchain. Wasabi Protocol mất 5 triệu USD sau khi kẻ tấn công chiếm được khóa quản trị trên 3 chuỗi Các điểm chính: - Một kẻ tấn công đã rút 4,5 triệu đến 5,5 triệu USD từ Wasabi Protocol bằng cách xâm phạm khóa quản trị EOA của người triển khai vào ngày 30 tháng 4 năm 2026. - Virtuals Protocol đã đóng băng các khoản tiền gửi ký quỹ ngay sau vụ vi phạm, mặc dù tính bảo mật của chính giao thức này vẫn hoàn toàn nguyên vẹn. - Wasabi Protocol chưa đưa ra tuyên bố công khai; người dùng phải thu hồi tất cả các phê duyệt (approvals) trên Ethereum, Base và Blast. Giao thức DeFi Wasabi mất 5 triệu USD trong vụ hack khóa quản trị Địa chỉ bị xâm phạm, 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8, là khóa quản trị duy nhất kiểm soát các hợp đồng Perpmanager của Wasabi. Kẻ tấn công được cho là đã sử dụng nó để cấp ADMIN_ROLE cho một hợp đồng hỗ trợ độc hại, sau đó thực hiện các nâng cấp proxy UUPS trái phép trên các proxy Wasabivault và Wasabilongpool trước khi quét sạch tài sản thế chấp và số dư trong pool. Công ty bảo mật Hypernative đã gắn cờ sự cố với các cảnh báo mức độ nghiêm trọng cao trên cả ba chuỗi. Blockaid, Cyvers và Defimonalerts cũng đã phát hiện hoạt động này trong thời gian thực. Hypernative xác nhận họ không phải là khách hàng của Wasabi nhưng đã phát hiện vụ vi phạm một cách độc lập và cam kết sẽ phân tích kỹ thuật đầy đủ. Cuộc tấn công bắt đầu vào khoảng 07:48 UTC và kéo dài trong khoảng hai giờ. Người triển khai đã cấp ADMIN_ROLE cho các hợp đồng do kẻ tấn công kiểm soát trên Ethereum, Base và Blast. Sau đó, một hợp đồng độc hại đã gọi strategyDeposit() trên bảy đến tám proxy WasabiVault, chuyển một chiến lược giả mạo kích hoạt hàm drain() để trả lại tất cả tài sản thế chấp cho kẻ tấn công. Wasabilongpool trên Ethereum và Base sau đó đã được nâng cấp lên một triển khai độc hại nhằm quét sạch số dư còn lại. Tiền được hợp nhất thành ETH, bắc cầu (bridged) khi cần thiết và phân phối qua nhiều địa chỉ. Các báo cáo ban đầu ghi nhận một số hoạt động liên quan đến Tornado Cash. Khoản lỗ đơn lẻ lớn nhất được báo cáo là 840,9 WETH, trị giá hơn 1,9 triệu USD tại thời điểm tấn công. Các tài sản bị rút khác bao gồm sUSDC, sREKT, PEPE, MOG, NEIRO, ZYN và bitcoin, cùng với các tài sản trên chuỗi Base như VIRTUAL, AERO và cbBTC. Theo dữ liệu từ Defillama, tổng giá trị bị khóa (TVL) của Wasabi đạt khoảng 8,5 triệu USD trên các chuỗi trước khi vụ khai thác xảy ra. Đây là một thất bại trong quản lý khóa, không phải lỗ hổng hợp đồng thông minh. Không có vụ khai thác reentrancy hay logic nào liên quan. Kẻ tấn công có khả năng đã lấy được khóa cá nhân thông qua lừa đảo (phishing), phần mềm độc hại hoặc trộm cắp trực tiếp, sau đó lạm dụng kiến trúc proxy có thể nâng cấp để rút tiền mà không kích hoạt các kiểm tra bảo mật thông thường. Virtuals Protocol, đơn vị cung cấp các khoản tiền gửi ký quỹ thông qua Wasabi, đã hành động nhanh chóng sau khi vụ vi phạm được phát hiện. Nhóm đã đóng băng tất cả các khoản tiền gửi ký quỹ và xác nhận tính bảo mật của chính họ vẫn hoàn toàn nguyên vẹn. Hoạt động giao dịch, rút tiền và vận hành đại lý trên Virtuals vẫn tiếp tục mà không bị gián đoạn. Nhóm đã cảnh báo người dùng tránh ký bất kỳ giao dịch nào liên quan đến Wasabi. Wasabi Protocol chưa đưa ra tuyên bố công khai hoặc bài đăng về sự cố tính đến dữ liệu mới nhất hiện có. Giao thức này trước đây đã liên lạc nhanh chóng trong các sự cố không liên quan và có các cuộc kiểm toán từ Zellic và Sherlock, nhưng cuộc tấn công này đã bỏ qua hoàn toàn các biện pháp bảo vệ đó. Người dùng có liên quan được khuyến nghị thu hồi ngay lập tức tất cả

Trạng thái dữ liệu✓ Đã trích xuất toàn vănĐọc bài gốc (Bitcoin.com)

🔍Sự kiện tương tự trong lịch sử· Đối chiếu từ khóa + tài sản6 tin

2026-04-30

Wasabi Protocol bị rút cạn 4,5 triệu USD do nghi vấn lộ admin key

Độ tương đồng 230%關鍵字 key/protocol/wasabi

2026-04-30

Wasabi Protocol bị rút cạn 4,5 triệu USD do nghi vấn lộ admin key

Độ tương đồng 230%關鍵字 key/protocol/wasabi

2026-04-22

Một giao thức DeFi khác bị hack mất hàng triệu USD chỉ vài ngày sau vụ vi phạm tại KelpDAO

Độ tương đồng 180%關鍵字 protocol/loses/after

2026-04-30