Kẻ tấn công khai thác lỗ hổng trong hợp đồng thông minh để rút stablecoin vượt quá tài sản thế chấp cho phép.
Abracadabra, một giao thức cho vay DeFi cũng phát hành stablecoin phi tập trung Magic Internet Money (MIM), đã mất gần 1,8 triệu USD giá trị MIM sau khi kẻ tấn công khai thác lỗ hổng trong một trong các chức năng của giao thức.
Trong cuộc tấn công xảy ra vào đêm muộn thứ Bảy, một tác nhân đe dọa vô danh đã tận dụng lỗ hổng hợp đồng thông minh để vượt qua kiểm tra khả năng thanh toán, cho phép họ rút 1,79 triệu MIM từ giao thức, theo công ty bảo mật BlockSec Phalcon. Nguồn tài trợ ban đầu của ví tấn công đến từ giao thức trộn Tornado Cash. Sau cuộc tấn công, kẻ tấn công đã đổi token lấy ETH và gửi trở lại Tornado.
Phản ứng từ đội ngũ phát triển
“Một vectơ tấn công tiềm ẩn đã được xác định hôm nay trong một số hợp đồng đã ngừng sử dụng. Vấn đề đã được giảm thiểu và khép lại”, 0xMerlin – người đóng góp cho DAO – viết trên máy chủ Discord của giao thức. “MIM bị ảnh hưởng (mặc dù rất nhỏ) đã được mua lại từ thị trường bằng kho bạc DAO và hiện đang chờ hoàn trả cho kho bạc DAO bằng ETH… Không có quỹ người dùng nào bị ảnh hưởng.”
MIM hiện có nguồn cung lưu hành gần 44 triệu token, theo dữ liệu của Abracadabra, với phần lớn token giao dịch trên Ethereum và mạng Layer 2 Arbitrum. Giao thức có tổng giá trị khóa (TVL) là 154 triệu USD.
.@MIM_Spell was attacked hours ago, resulting in a loss of ~$1.7M. The root cause stems from the flawed implementation logic of the cook function, which allows users to execute multiple predefined operations in a single transaction. Specifically, the actions share a common… pic.twitter.com/4tQzkRbwcT
— BlockSec Phalcon (@Phalcon_xyz) October 4, 2025
Vụ hack lớn thứ ba trong hai năm
Cuộc tấn công này đánh dấu sự cố bảo mật lớn thứ ba đối với giao thức cho vay. Abracadabra đã mất 6,4 triệu USD do một vụ hack hợp đồng thông minh cũng vượt qua kiểm tra mất khả năng thanh toán vào tháng 1 năm 2024, và một hacker đã đánh cắp 13 triệu USD giá trị MIM vào tháng 3 năm 2025 bằng cuộc tấn công flash loan bảy bước. Tổng cộng, giao thức đã mất hơn 21 triệu USD do các cuộc khai thác kể từ năm 2024.
0xMerlin cũng cho biết đội ngũ Abracadabra đang xem xét các quy trình nội bộ nhằm củng cố giao thức và ngăn chặn các vấn đề tương tự phát sinh trong tương lai. The Block chưa thể liên hệ ngay với Abracadabra để bình luận, và đội ngũ chưa đưa ra tuyên bố công khai.
Chuỗi các vụ hack liên tiếp cho thấy những thách thức bảo mật nghiêm trọng mà các giao thức DeFi phải đối mặt. Mặc dù đội ngũ phát triển khẳng định quỹ người dùng không bị ảnh hưởng và đã sử dụng kho bạc DAO để mua lại token bị đánh cắp, việc xảy ra ba vụ tấn công lớn trong vòng chưa đầy hai năm đặt ra câu hỏi về độ tin cậy và khả năng bảo vệ tài sản của Abracadabra trong dài hạn.