Cross-chain bridge Allbridge's Core protocol has been suspended. The project suffered a flash loan attack on its stablecoin liquidity pool on Solana, resulting in losses of approximately $1.65 million. The team has temporarily disabled the protocol and initiated an investigation, while requesting liquidity providers in the affected pools to withdraw their funds as soon as possible.
Cuộc tấn công xảy ra tại pool ổn định币 của Solana
Allbridge Core sử dụng hồ sơ thanh khoản ổn định bản địa để thực hiện giao dịch chéo chuỗi, hỗ trợ các tài sản như USDC, USDT mà không phụ thuộc vào token được đóng gói. Theo thông tin từ phía dự án và các tổ chức an ninh chuỗi, kẻ tấn công đã thực hiện khoản vay chớp nhoáng khoảng 1,12 triệu USD từ giao thức vay mượn Solana Kamino, sau đó thực hiện một loạt giao dịch ổn định币 nhanh chóng để bóp méo giá cả trong hồ sơ.
Sau khi giá bị thao túng, kẻ tấn công đã đổi ra số lượng lớn USDC với chi phí thấp. CertiK cho biết, kẻ tấn công từng đổi khoảng 2,24 triệu USD USDC bằng vài nghìn đô la Mỹ USDT, sau đó chuyển tiền từ Solana sang địa chỉ Ethereum và tiếp tục phân tán chuyển khoản.
Nhà phát triển dự án yêu cầu rút vốn LP
Allbridge cho biết, sau khi nguồn cung bị mất cân bằng, thị trường đã có một cửa sổ arbitrage tích cực ngắn hạn, cho phép một số nhà giao dịch mua các tài sản được định giá sai. Dự án đã kêu gọi các nhà giao dịch kiếm lợi từ cửa sổ này hoàn trả số tiền vào địa chỉ được chỉ định, cho biết số tiền liên quan sẽ được sử dụng trực tiếp để bồi thường cho các nhà cung cấp thanh khoản bị ảnh hưởng.
Hiện tại, Allbridge cho biết đang chuẩn bị bản giải thích chi tiết hơn và báo cáo phân tích sau sự cố. Đội ngũ cũng cho biết đang nỗ lực khởi động lại Core mà không phụ thuộc vào các hồ sơ thanh khoản, đồng thời khẳng định rằng thanh khoản hiện tại của người dùng không còn bị đe dọa thêm.
Đây đã là sự kiện tương tự lần thứ hai
Đây không phải là lần đầu tiên Allbridge bị tấn công tương tự. Vào tháng 4 năm 2023, quỹ của dự án trên BNB Chain cũng đã bị mất khoảng 573.000 USD do lỗ hổng闪电贷 tương tự. Lúc đó, đội ngũ dự án cho biết đã thu hồi được phần lớn số tiền và điều chỉnh cách tính thanh khoản cũng như rút tiền.
Các cầu liên chuỗi và các bể thanh khoản đi kèm luôn là khu vực dễ bị tấn công trong DeFi. Báo cáo cho biết, trong năm tháng đầu tiên của năm 2026, thiệt hại do các cuộc tấn công DeFi đã vượt quá 840 triệu USD. Ngay vào tháng trước, một cầu liên chuỗi giữa Axelar và Secret Network cũng đã bị mất khoảng 4,67 triệu USD do lỗ hổng “phát hành vô hạn” trong hợp đồng token.
Allbridge hiện vẫn đang bị tạm dừng. Số tiền có thể thu hồi được cuối cùng phụ thuộc vào việc theo dõi số tiền sau khi chuyển chuỗi và liệu các nhà arbitrage liên quan có hoàn trả lại số lợi nhuận hay không.