Gần đây, hợp đồng Router của Aztec Network đã ghi nhận các giao dịch khả nghi trên Ethereum, dẫn đến mất khoảng 2,19 triệu USD tài sản. Hồ sơ trên chuỗi cho thấy các thao tác liên quan đã trực tiếp sử dụng vốn trong hợp đồng giao thức, sự kiện sau đó đã thu hút sự chú ý của các tổ chức an ninh.
Các điểm nghi vấn hướng đến việc kiểm tra proofData
Cơ quan an ninh CertiK cho biết giao dịch này có các đặc điểm bất thường rõ rệt. Theo đánh giá ban đầu, kẻ tấn công có thể đã tận dụng lỗ hổng xác thực trong hợp đồng thông minh để truy cập trái phép vào vốn của giao thức hoặc thay đổi logic thực thi hợp đồng và chuyển tài sản.
Từ phân tích công khai, vấn đề có thể nằm ở hàm computeRootHashes(). Hàm này chịu trách nhiệm xác minh tính hợp lệ của _proofData được truyền vào, nhưng phạm vi kiểm tra dường như chỉ bao gồm nửa đầu tiên của dữ liệu này.
Dữ liệu trung gian được sử dụng để thực hiện chuyển khoản
Trong quá trình thực thi tiếp theo, processDepositsAndWithdrawals() sẽ tiếp tục đọc các nội dung trung gian của cùng một _proofData và dựa vào đó để xử lý các chuyển nhượng token liên quan đến gửi và rút tiền.
Điều này có nghĩa là kẻ tấn công có thể tạo ra một dữ liệu chứng minh độc hại để phần đầu tiên vượt qua xác minh, đồng thời chèn các lệnh rút tiền hoặc chuyển tiền đã bị thay đổi vào phần giữa không được kiểm tra đầy đủ. Cuối cùng, nội dung được thực thi bởi hợp đồng không nhất quán với nội dung đã được xác minh thực tế, dẫn đến việc chuyển tiền không được ủy quyền.
Các sự cố an ninh gần đây liên tiếp xảy ra
Trước và sau sự kiện này, lĩnh vực DeFi đã liên tiếp ghi nhận nhiều vụ việc bảo mật. Raydium trước đó đã tiết lộ rằng lỗi mã hóa trong chương trình AMM V3 cũ đã gây ra tổn thất khoảng 1,34 triệu USD cho 5 hồ sơ thanh khoản.
Một cuộc tấn công chiếm quyền kiểm soát quản trị khác đã khiến khoảng 1,5 triệu USD tiền điện tử Ethereum bị đánh cắp từ một hồ thanh khoản của Balancer. Gần đây, TokenBridge của Alephium cũng bị khai thác, khi kẻ tấn công sử dụng khóa guardian bị xâm phạm để tạo VAA giả, chuyển đi khoảng 815.000 USD trong vòng 7 phút.
Thông tin bổ sung: Dữ liệu từ DeFiLlama cho thấy, trong 30 ngày qua, tổng số tiền bị đánh cắp trên chuỗi đã đạt 81,73 triệu USD; tính từ đầu năm 2026, tổng tổn thất khoảng 634,85 triệu USD, trong đó tháng 4 là một trong những tháng có quy mô mất vốn cao nhất trong năm.