Giao thức thanh khoản chuỗi chéo xác nhận cơ sở hạ tầng cầu nối đang bị tấn công sau khi lỗ hổng bảo mật được khai thác.

Giao thức thanh khoản chuỗi chéo CrossCurve đã xác nhận cơ sở hạ tầng cầu nối của họ đang bị tấn công tích cực sau khi một lỗ hổng trong hợp đồng thông minh bị khai thác để chiếm đoạt khoảng 3 triệu USD trên nhiều mạng lưới khác nhau. Thông tin được công bố trong thông báo của dự án vào Chủ nhật.

“Cầu nối của chúng tôi hiện đang bị tấn công, liên quan đến việc khai thác lỗ hổng trong một trong những hợp đồng thông minh được sử dụng,” CrossCurve cho biết trên X. “Vui lòng tạm dừng mọi tương tác với CrossCurve trong khi cuộc điều tra đang diễn ra.”

Tài khoản bảo mật blockchain Defimon Alerts đã xác định vector tấn công là lỗi bỏ qua xác thực gateway trong hợp đồng ReceiverAxelar của CrossCurve. Theo phân tích, bất kỳ ai cũng có thể gọi hàm expressExecute trên hợp đồng với tin nhắn chuỗi chéo giả mạo, bỏ qua xác thực gateway dự kiến và kích hoạt việc mở khóa token trái phép trên hợp đồng PortalV2 của giao thức.

⚠️ URGENT Security Notice

Dear users,

Our bridge is currently under attack, involving the exploitation of a vulnerability in one of the smart contracts used.

Please pause all interactions with CrossCurve while the investigation is ongoing.

We appreciate your patience and… pic.twitter.com/yfo1KvWoDd

— CrossCurve (@crosscurvefi) February 1, 2026

Lỗ hổng tương tự vụ Nomad năm 2022

Lỗ hổng này gợi nhớ đến vụ khai thác cầu nối Nomad trị giá 190 triệu USD vào năm 2022, khi hơn 300 địa chỉ ví đã cố gắng rút tiền từ giao thức trong một cuộc tranh giành điên cuồng. “Tôi không thể tin rằng không có gì thay đổi trong bốn năm,” chuyên gia bảo mật Taylor Monahan nói với The Block khi đề cập đến vụ khai thác này.

Dữ liệu từ Arkham Intelligence do Defimon Alerts chia sẻ cho thấy số dư của hợp đồng PortalV2 giảm từ khoảng 3 triệu USD xuống gần như bằng không vào khoảng ngày 31 tháng 1. Vụ khai thác dường như diễn ra trên nhiều mạng lưới khác nhau.

Về CrossCurve và cơ chế bảo mật

CrossCurve, trước đây được biết đến với tên EYWA Protocol, vận hành một sàn giao dịch phi tập trung (DEX) chuỗi chéo và cầu nối đồng thuận được xây dựng hợp tác với Curve Finance. Giao thức sử dụng cơ chế “Consensus Bridge” để định tuyến giao dịch thông qua nhiều giao thức xác thực độc lập, bao gồm Axelar, LayerZero và mạng lưới Oracle EYWA của riêng họ, nhằm giảm thiểu các điểm lỗi đơn lẻ.

Dự án trước đây đã nhấn mạnh kiến trúc bảo mật như một yếu tố khác biệt chính, lưu ý trong tài liệu rằng “xác suất để nhiều giao thức chuỗi chéo bị hack cùng lúc gần như bằng không.” Nhà sáng lập Curve Finance, Michael Egorov, đã trở thành nhà đầu tư vào giao thức này vào tháng 9 năm 2023. Sau đó, dự án cho biết đã huy động được 7 triệu USD từ các quỹ đầu tư mạo hiểm.

In light of the recent security incident involving https://t.co/3Wv3pEhCu8 (== CrossCurve):

Users who have allocated votes to Eywa-related pools may wish to review their positions and consider removing those votes. We continue to encourage all participants to remain vigilant and… https://t.co/chd5YBOXhr

— Curve Finance (@CurveFinance) February 1, 2026

Phản ứng từ Curve Finance

“Người dùng đã phân bổ phiếu bầu cho các pool liên quan đến Eywa có thể muốn xem xét lại vị thế của họ và cân nhắc việc xóa các phiếu bầu đó,” Curve Finance viết trên X. “Chúng tôi tiếp tục khuyến khích tất cả những người tham gia luôn cảnh giác và đưa ra quyết định có nhận thức về rủi ro khi tương tác với các dự án bên thứ ba.”

Vụ việc này một lần nữa nhấn mạnh những rủi ro bảo mật liên tục trong không gian DeFi, đặc biệt là với các giao thức cầu nối chuỗi chéo. Mặc dù CrossCurve đã thiết kế hệ thống với nhiều lớp xác thực, lỗ hổng trong hợp đồng thông minh vẫn cho phép kẻ tấn công vượt qua các biện pháp bảo vệ này.

Hiện tại, dự án đang tiến hành điều tra và người dùng được khuyến cáo không tương tác với nền tảng cho đến khi có thông báo mới.