Hơn 220 triệu USD bị đánh cắp từ Kelp DAO đã gần như được rửa sạch hoàn toàn, việc theo dõi trên chuỗi trở nên vô nghĩa trước THORChain, Wasabi và Tornado Cash. Đây không phải là trường hợp đơn lẻ—Radiant Capital vừa phải đóng cửa sau vụ tấn công 50 triệu USD, lỗ hổng của Gnosis Pay vẫn đang tiếp tục lan rộng. Sổ kế toán niềm tin của các cầu liên chuỗi đang bị ghi lại liên tục. Hacker sử dụng THORChain để chuyển 175 triệu ETH liên chuỗi sang Bitcoin, sau đó trộn và chia nhỏ, khiến khối lượng giao dịch của THORChain tăng lên 394 triệu USD chỉ trong một ngày. Các công cụ bảo mật riêng tư không phải là điều mới mẻ, nhưng quy mô lần này phơi bày một vấn đề mang tính cấu trúc: càng nhiều thanh khoản liên chuỗi phát triển, thì các kênh rửa tiền của hacker càng trở nên tinh vi. Số ETH 71 triệu USD duy nhất bị phong tỏa hiện đang vướng vào tranh chấp pháp lý—gia đình nạn nhân từ Triều Tiên yêu cầu tịch thu để bồi thường. Dưới lệnh cấm của tòa án, việc thu hồi số tiền này vẫn còn là một ẩn số. Giả định an toàn của DeFi đang trượt từ “mã hóa là luật pháp” sang “luật pháp là hàng phòng thủ cuối cùng”. Đối với thị trường, đây không phải là câu chuyện “tin xấu đã được phản ánh”. Sau mỗi cuộc tấn công, các giao thức sẽ tăng cường kiểm toán, nhưng hacker cũng đang tiến hóa. Chi phí niềm tin liên chuỗi ngày càng tăng sẽ cuối cùng thể hiện qua phí vốn, TVL và hành vi người dùng—bạn có sẵn sàng đặt tài sản của mình vào một mạng lưới có thể bị xuyên thủng bởi các kênh rửa tiền không? $btc #eth #defi #链上数据 #ai

Không phải mọi thất bại trong DeFi đều bắt đầu bằng một vụ tấn công. Firelight sẽ phân tích cả các thất bại về mặt kỹ thuật và kinh tế, bao gồm nợ xấu và các tổn thất cấu trúc trong mối quan hệ giữa tài sản thế chấp và tài sản vay. Mỗi yêu cầu sẽ được hỗ trợ bởi các tín hiệu rõ ràng và bằng chứng có thể xác minh trên chuỗi.

Chương trình bounty lỗi đã nhận được lượng lớn báo cáo kể từ khi ra mắt. Để đảm bảo mỗi báo cáo đều được quan tâm đúng mức, chúng tôi đang tạm dừng các báo cáo mới trong khi xử lý danh sách chờ. Chúng tôi sẽ cập nhật khi chương trình mở lại. Cảm ơn tất cả mọi người đã tham gia cho đến nay.

Hii. Chỉ những người có thể trả $1M cho các biện pháp an toàn mới được ở lại thị trường. ＞ Mythos quét phát hiện hơn 20 lỗ hổng nghiêm trọng trong mã nguồn nội bộ của Palo Alto Networks, dẫn đến việc tiêu tốn hơn 1 triệu đô la token.

Bitcoin. Không có cRiPtO. “La DAO ya no tiene un camino viable hacia el futuro.” Không thể phục hồi sau cuộc tấn công mạng khiến họ mất khoảng 50 triệu đô la, Radiant Capital đang đóng cửa.

Khôi phục bởi Whitehat: Nhà nghiên cứu Florent đã phối hợp với đội ngũ HongCoin để giải phóng ~1.003 ETH (~2 triệu USD) bị kẹt trong hợp đồng hoàn tiền ICO năm 2016 do lỗi logic tràn và hoàn tiền cũ. #Ethereum #SmartContractSecurity

Reentrancy được giải mã – Lỗi hợp đồng thông minh vẫn đang làm cạn hàng triệu đô la vào năm 2026, và mẫu hình Checks-Effects-Interactions giúp ngăn chặn nó trong mã nguồn Reentrancy không phải là phép màu. Đó là một lỗi về thứ tự: hợp đồng của bạn cập nhật trạng thái của chính nó SAU khi thực hiện một lời gọi bên ngoài thay vì trước đó, và kẻ tấn công gọi lại trong khoảng thời gian đó. Sửa lại thứ tự và lỗi sẽ biến mất. DAO đã mất khoảng 3,6 triệu ETH (khoảng 60 triệu USD, tương đương khoảng 5% tổng số ETH đang lưu hành lúc đó) do lỗi chính xác này vào ngày 17 tháng 6 năm 2016. Hậu quả dẫn đến việc chia Ethereum thành ETH và ETC. Mười năm sau, nó vẫn đang làm cạn nguồn vốn. Solv Protocol đã mất 2,73 triệu USD do reentrancy vào ngày 5 tháng 3 năm 2026, và khoảng 52 triệu USD đã bị đánh cắp trên các giao thức onchain trong tháng 5 năm 2026 (DeFiLlama qua CryptoTimes, ngày 31 tháng 5 năm 2026). Mẫu hình dễ bị tấn công: đọc số dư, gửi ETH bằng lời gọi cấp thấp, SAU ĐÓ mới đặt số dư về không. Hàm receive() của kẻ tấn công tái nhập vào withdraw() trước khi giá trị không được ghi, và lặp lại cho đến khi hợp đồng trống rỗng. Hai biện pháp khắc phục, nên sử dụng kết hợp: Checks-Effects-Interactions. Xác minh, cập nhật TẤT CẢ trạng thái, sau đó thực hiện lời gọi bên ngoài CUỐI CÙNG. Di chuyển balances[msg.sender] = 0 lên trên lời gọi, khi đó lời gọi tái nhập sẽ đọc giá trị bằng không và bị hủy bỏ. Bộ bảo vệ nonReentrant của OpenZeppelin. Một mutex lưu trữ (NOT_ENTERED sang ENTERED) sẽ hủy bỏ khi có tái nhập. Hãy sử dụng cả hai, không chỉ một trong hai. Hai điều mà hầu hết các nhà phát triển vẫn đang sai lầm. 1. .transfer() không còn là lá chắn: khoản gas 2300 không còn là giả định an toàn kể từ khi EIP-1884 tăng chi phí SLOAD vào năm 2019. Hãy dùng .call{value:}("") kết hợp với CEI. 2. Reentrancy chỉ đọc có thể vượt qua bộ bảo vệ tiêu chuẩn, vì hàm view đọc giữa quá trình cập nhật sẽ trả về trạng thái bị hỏng và có thể làm nhiễu oracle giá (dForce, 3,64 triệu USD). Chỉ mang tính chất giáo dục. Không phải lời khuyên tài chính. Theo dõi để nhận insights hàng ngày – nơi blockchain gặp gỡ AI, từng lần vuốt nhẹ đầy hứng thú. #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation