1inch nhà tạo lập thị trường TrustedVolumes bị tấn công, thiệt hại lên tới 5,87 triệu USD

Công ty an ninh blockchain Blockaid vào ngày 6/5 theo giờ miền Đông nước Mỹ đã đăng trên X để tiết lộ rằng nhà cung cấp thanh khoản và nhà tạo lập thị trường TrustedVolumes của bộ tổng hợp thanh khoản phi tập trung 1inch đang bị tấn công liên tục; tính đến thời điểm Blockaid công bố, tổn thất đã lên tới khoảng 5,87 triệu USD.

Chi tiết kỹ thuật của cuộc tấn công: lỗ hổng hợp đồng proxy RFQ

Theo tuyên bố của Blockaid, lỗ hổng được sử dụng trong cuộc tấn công này nằm trong hợp đồng proxy tùy chỉnh RFQ (Request for Quote, yêu cầu báo giá) mà TrustedVolumes tự kiểm soát; lỗ hổng này thuộc các thành phần kỹ thuật khác với lỗ hổng liên quan đến sự cố 1inch Fusion V1 vào ngày 1/3/2025.

Blockaid công bố rằng, tính đến thời điểm phát hành tuyên bố, danh mục tài sản bị đánh cắp như sau:

WETH (Wrapped Ether): 1.291,16 token

USDT: 206.282 token

WBTC (Wrapped Bitcoin): 16,939 token

USDC: 1.268.771 token

Đơn vị liên quan: 1inch, TrustedVolumes và Blockaid

Theo tuyên bố của Blockaid, sự kiện tấn công 1inch Fusion V1 trong tháng 3/2025 và sự kiện lần này do cùng một kẻ tấn công thực hiện; các lỗ hổng kỹ thuật được khai thác trong hai lần tấn công là khác nhau, và hợp đồng proxy RFQ của TrustedVolumes bị ảnh hưởng thuộc các thành phần độc lập.

Dữ liệu then chốt: bối cảnh các sự cố an ninh DeFi

Theo thống kê của nền tảng dữ liệu on-chain DefiLlama, các vụ tấn công và khai thác lỗ hổng do hacker gây ra trong tháng 4/2026 đã khiến thiệt hại đạt 635,2 triệu USD, ghi nhận mức tổn thất cao nhất trong một tháng kể từ tháng 2/2025 (Bybit chịu thiệt hại gần 1,5 tỷ USD).

Theo The Block, cuộc tấn công nhắm vào TrustedVolumes là vụ khai thác lỗ hổng lớn thứ năm kể từ đầu tháng 5/2026. Trong cùng giai đoạn, các sự kiện lớn gồm: Drift chịu cuộc tấn công kỹ thuật xã hội trị giá 285 triệu USD và Kelp DAO chịu cuộc tấn công khai thác lỗ hổng trị giá 293 triệu USD.

Câu hỏi thường gặp

Cuộc tấn công xảy ra khi nào? Tình hình tổn thất ra sao?

Theo tuyên bố của công ty an ninh blockchain Blockaid đăng trên X vào ngày 6/5/2026 theo giờ miền Đông nước Mỹ, TrustedVolumes đang chịu một cuộc tấn công liên tục; tính đến thời điểm phát hành tuyên bố, tổn thất đã lên tới khoảng 5,87 triệu USD. Tài sản bị đánh cắp bao gồm WETH, USDT, WBTC và USDC.

Kẻ tấn công đã khai thác lỗ hổng kỹ thuật nào?

Theo tuyên bố của Blockaid, cuộc tấn công khai thác lỗ hổng hợp đồng proxy tùy chỉnh RFQ (yêu cầu báo giá) do TrustedVolumes tự kiểm soát, được triển khai trên blockchain Ethereum. Lỗ hổng này là khác với thành phần kỹ thuật liên quan đến sự cố 1inch Fusion V1 vào tháng 3/2025.

Cuộc tấn công này có liên quan đến sự kiện 1inch hồi tháng 3/2025 không?

Theo tuyên bố của Blockaid, hai cuộc tấn công do cùng một thực thể thực hiện. Tháng 3/2025, cùng kẻ tấn công đã tiến hành tấn công vào hợp đồng 1inch Fusion V1, gây thiệt hại khoảng 5 triệu USD; lần này cũng do cùng kẻ tấn công nhưng nhắm vào các thành phần hợp đồng khác nhau.