Security

BounceBit cho biết sẽ dần dừng vận hành blockchain L1 do nền tảng tự phát triển sau khi gần đây bị khai thác lỗ hổng. Nền tảng này tập trung vào mảng restaking BTC và sự cố bảo mật đã dẫn tới quyết định chấm dứt hoạt động của chuỗi nền tảng. Dự án chưa công bố chi tiết về cuộc tấn công cũng như quy mô thiệt hại, theo Crowdfund Insider. Quyết định đóng L1 được đánh giá là gây tác động lớn đến nền tảng cơ bản của dự án.

Maya Protocol đã tạm dừng toàn bộ hoạt động sau khi hứng chịu một cuộc tấn công khai thác nhiều lỗ hổng. Kẻ tấn công đã lợi dụng các điểm yếu bảo mật để rút token gốc CACAO và một lượng lớn tài sản cross-chain, nhưng giá trị thiệt hại cụ thể chưa được công bố. Giao thức này là một nền tảng thanh khoản cross-chain phi tập trung, và sự cố đã làm suy giảm tài sản cốt lõi cùng thanh khoản của các pool liên quan, đồng thời làm dấy lên lo ngại về an ninh của hạ tầng cross-chain.

Sau vụ hack KelpDAO, tổng giá trị khóa (TVL) trên Aave đến nay vẫn giảm 43% và thấp hơn 67% so với đỉnh 52 tuần. Tin tặc đã đem rsETH bị đánh cắp gửi vào Aave rồi vay ETH thật, khiến Aave và Compound phát sinh khoảng 246 triệu USD nợ xấu cộng gộp. TVL của Aave giảm từ 26,4 tỷ USD trước vụ tấn công xuống còn 14,9 tỷ USD, làm suy yếu khả năng cho vay và gia tăng biến động. Token AAVE giảm khoảng 20% vào ngày sau sự cố và hiện giao dịch quanh 89 USD, vẫn thấp hơn mức trước vụ hack.

Nhà môi giới tiền mã hóa được quản lý lớn nhất Israel, Bits of Gold, cho biết đang điều tra một vụ rò rỉ dữ liệu sau khi một bên không được phép truy cập vào hệ thống phân tích dữ liệu hỗ trợ vài ngày trước đó, có thể làm lộ thông tin cá nhân của khoảng 25.0000 người dùng. Dữ liệu có nguy cơ bị lộ gồm tên, số định danh quốc gia, số điện thoại, email, địa chỉ IP, thông tin tài khoản ngân hàng và địa chỉ ví tiền mã hóa công khai. Công ty nói mật khẩu tài khoản và ảnh chụp tài liệu định danh không bị lộ, đồng thời không lưu private key của khách hàng cũng như thông tin thẻ đầy đủ hoặc mã CVV. Bits of Gold cảnh báo việc lộ dữ liệu cá nhân và tài chính có thể bị lợi dụng cho các chiến dịch lừa đảo, mạo danh và tấn công social engineering, đe dọa an toàn tài sản của người dùng.

Ngày 10/3/2026, Aave do cấu hình sai CAPO risk oracle đã đặt tỷ giá wstETH trên chuỗi thấp hơn giá thị trường khoảng 2.85%, kích hoạt thanh lý khoảng 10,938 wstETH với quy mô khoảng 26–27 triệu USD. Những người thanh lý thu về khoảng 499–512 ETH giá trị lợi nhuận. Trước đó ngày 15/2/2026, Moonwell do thay đổi quản trị đã cấu hình sai Chainlink OEV wrapper, dùng tỷ lệ cbETH/ETH như giá USD, khiến cbETH được báo giá khoảng 1.12 USD thay vì khoảng 2,200 USD. Sự cố này dẫn đến việc 1,096.317 cbETH bị thanh lý và để lại khoảng 1.78 triệu USD nợ xấu cho giao thức.

Một cầu nối liên kết XRP Ledger với tx chain đã bị khai thác do lỗ hổng trong logic phát hiện tiền nạp. Kẻ tấn công tạo các giao dịch không chuyển bất kỳ giá trị nào nhưng vẫn đúc được XRP dạng cầu nối trên tx chain rồi đổi sang XRP thật, khiến khoảng 200,000 XRP bị chuyển đi qua 94 khoản thanh toán. Mỗi khoản thanh toán đều được ký hợp lệ bởi 17 trong số 28 relayer và hồ sơ nội bộ của cầu nối cũng ghi nhận tiền nạp là có thật. Ripple Ledger không bị xâm phạm, nhưng txEcosystem cho biết XRP dạng cầu nối trên chuỗi của họ không còn được bảo chứng đầy đủ về giá trị.

Harmony Protocol cho biết đã xảy ra sự cố đúc ONE trái phép vào ngày 12/8, ban đầu xác nhận số lượng được đúc là 4000000000 ONE. Theo dữ liệu tái dựng trên chuỗi, khoảng 3010000000000 ONE đã được phát hành tới bốn ví của kẻ tấn công thông qua sáu giao dịch crossshard giả mạo. Nhóm cho biết đã khắc phục các lỗi liên quan và triển khai Mainnet v2026.1.1, đồng thời chuẩn bị đưa mạng lưới quay về block 92,730,034 trước thời điểm bị tấn công.

Harmony đã công bố báo cáo về một lỗ hổng đúc token, cho biết lỗi phát lại biên nhận CrossShard có thể khiến các biên nhận hợp lệ bị xử lý nhiều lần và tạo ra token mới mà không có phần khấu trừ tương ứng. Đợt đúc trái phép đầu tiên được xác nhận ở mức khoảng 400 million ONE, theo Foresight News. Tổng lượng phát hành crossshard bị giả mạo vào khoảng 3.01 trillion ONE và đội ngũ vẫn đang kiểm tra dữ liệu. Bản vá khẩn cấp đã được kích hoạt vào August 12, lỗ hổng đã được khắc phục, dịch vụ crosschain bị tạm dừng và dự kiến hoàn tác về trạng thái trước lỗ hổng với mục tiêu block 92,730,034; shard 0 cũng đã tạm dừng để hỗ trợ quá trình này.

Foundation cho biết mọi người dùng bị ảnh hưởng sẽ được bồi hoàn đầy đủ và sẽ bổ sung toàn bộ phần dự trữ $XRP bị thiếu để khôi phục tỷ lệ bảo chứng 1:1 cho XRP đã được cầu nối. Sau khi hoàn tất, dự trữ sẽ có thể được kiểm chứng trực tiếp trên chuỗi. Lỗ hổng đã được xác định và vá; cầu nối hiện vẫn tạm dừng cho đến khi cuộc rà soát bảo mật độc lập hoàn tất. Đơn vị này cũng sẽ công bố báo cáo kỹ thuật đầy đủ về cơ chế khôi phục và cảnh báo người dùng cảnh giác với các hành vi lừa đảo, chỉ theo dõi cập nhật từ các kênh chính thức của tx.

Token do đội ngũ và các nhà đầu tư dẫn đầu của DATA Foundation nắm giữ đã không bắt đầu mở khóa vào Aug. 13 như từng xuất hiện trong lịch cung ứng công khai trước đó. Tổ chức này cho biết trong bài đăng ngày June 25 rằng họ đã gia hạn thời gian khóa thêm 18 tháng, nhưng không nêu thời điểm bắt đầu tính 18 tháng hoặc ngày thay thế. Nhóm được nhắc đến là đội ngũ và nhà đầu tư dẫn đầu, trong bối cảnh phân bổ ban đầu dành cho Early Backers và Core Contributors cộng lại chiếm 41.6% tổng cung. Bài viết liên quan cũng đề cập việc Pump Fun dự kiến mở khóa $127M token nội bộ vào July 12, quy mô khoảng gấp đôi khối lượng giao dịch bình quân ngày gần đây.