Nền tảng Ethereum Layer 2 đối mặt với bế tắc sau lỗ hổng nghiêm trọng

DeFi – lĩnh vực tài chính phi tập trung đang thu hút sự chú ý của cộng đồng công nghệ blockchain – lại một lần nữa ghi nhận sự cố gắng và thất bại của một dự án. Mạng lưới Ethereum Layer 2 Kinto, tự xưng là nền tảng giao dịch “modular” với cam kết tuân thủ KYC, vừa thông báo sẽ dừng hoạt động vào ngày 30/9/2025 sau một vụ tấn công nghiêm trọng vào tháng 7.

Vụ tấn công 110.000 token giả và thiệt hại 577 ETH

Ngày 10/7, Kinto bị một nhóm tin tặc khai thác lỗ hổng trong hợp đồng thông minh, cho phép họ tạo ra 110.000 token K giả và bán chúng trên thị trường. Hành động này khiến 577 ETH (tương đương 1,55 triệu USD) bị rút khỏi các quỹ cho vay Morpho và Uniswap v4. Giá token K của nền tảng lao dốc 95%, gây tổn thất nghiêm trọng cho người dùng.

Dù các nhà nghiên cứu an ninh đã cảnh báo về lỗ hổng này, Kinto vẫn không kịp thời khắc phục. Vụ tấn công xảy ra chỉ vài giờ sau khi thông tin được công bố, cho thấy sự thiếu hụt trong hệ thống bảo mật của nền tảng.

4/10 Timeline (UTC)

• Jul 9 20:17 – Exploit disclosed
• Jul 10 08:40 – Attacker mints & drains liquidity
• Jul 10 09:50 – First Announcement by Kinto team
• Jul 10 16:18 – Venn disclosure recognizing Kinto was not notified
• Jul 10 21:44 – Full thread recapping the… https://t.co/tsbCPESTFE

— Ramon | Kinto ⛩️ 💹🧲 (@ramonrecuero) July 13, 2025

Nỗ lực cứu vãn và thất bại của “dự án Phoenix”

Sau sự cố, Kinto khởi động kế hoạch “Phoenix” với mục tiêu huy động 1 triệu USD để tái khởi động nền tảng. Họ phát hành token $KINTO mới, phản ánh giá trị trước vụ tấn công, đồng thời bơm lại một phần thanh khoản vào các quỹ bị rút. Tuy nhiên, gánh nặng nợ từ các khoản vay phục hồi khiến dự án không thể duy trì hoạt động.

Người sáng lập Kinto, Ramón Recuero – cũng là nhà sáng lập Babylon Finance – đã cam kết chi 55.000 USD từ quỹ cá nhân để bồi thường cho các nạn nhân. Theo đó, các nhà cho vay trong chương trình Phoenix sẽ nhận lại 76% giá trị gốc, trong khi những người bị nợ xấu trên Morpho có thể nhận tối đa 1.100 USD mỗi địa chỉ.

Thông báo dừng hoạt động và cam kết minh bạch

Trong thông báo chính thức, Recuero chia sẻ: “Chúng tôi đã hoạt động không lương kể từ tháng 7. Sau khi thất bại trong nỗ lực huy động vốn cuối cùng, chúng tôi chỉ còn một lựa chọn duy nhất: dừng hoạt động một cách có trách nhiệm và bảo vệ người dùng/lender tốt nhất có thể.” Ông nhấn mạnh Kinto sẽ không biến thành “nền tảng ma” như nhiều dự án khác, mà sẽ đóng cửa công khai và minh bạch.

Recuero từng có kinh nghiệm xử lý khủng hoảng từ Babylon Finance, nơi ông từng giúp bồi thường cho các nạn nhân vụ hack Rari Protocol. Lần này, ông tiếp tục thể hiện trách nhiệm cá nhân, dù không thể cứu vãn toàn bộ thiệt hại.

Bài học cho hệ sinh thái DeFi

Vụ việc của Kinto là hồi chuông cảnh báo về rủi ro trong hệ sinh thái DeFi. Dù công nghệ blockchain mang lại tính minh bạch, nhưng sự phụ thuộc vào hợp đồng thông minh vẫn tiềm ẩn lỗ hổng. Các nền tảng cần đầu tư mạnh hơn vào kiểm thử an ninh và xây dựng cơ chế ứng phó khẩn cấp.

DeFi vẫn là xu hướng đầy hứa hẹn, nhưng những thất bại như Kinto cho thấy con đường phát triển còn nhiều chông gai. Cộng đồng cần cảnh giác, đồng thời tiếp tục hoàn thiện hệ thống để xây dựng một tương lai tài chính phi tập trung bền vững.