Venus Protocol và Bunni DEX bị hacker tấn công, thiệt hại hơn 21 triệu USD

Venus Protocol và Bunni DEX vừa gặp phải những vấn đề bảo mật nghiêm trọng, khiến hàng chục triệu USD bị thất thoát và buộc phải tạm dừng hoạt động để xử lý.

Venus Protocol và Bunni DEX bị hacker tấn công, thiệt hại hơn 21 triệu USD

Venus Protocol: Cá voi bị phishing mất 13,5 triệu USD

Vào ngày tối ngày 02/09, một trong những giao thức lending lớn nhất trên BNB Chain, Venus Protocol, đã phải tạm dừng toàn bộ hoạt động sau khi một “cá voi” bị mất khoảng 13,5 triệu USD tài sản được triển khai bởi giao thức Venus bao gồm vUSDT, vUSDC, vWETH và vFDUSD trong một vụ tấn công phishing.

We are aware of the user wallet being drained (smart contract is safe) and are actively investigating.

Venus is currently paused following security protocols. We will keep you all updated as soon as we know more.

— Venus Protocol (@VenusProtocol) September 2, 2025

Chi tiết sự cố

• Theo công ty bảo mật PeckShield, nạn nhân đã vô tình ký một giao dịch độc hại, mở quyền cho địa chỉ ví kẻ tấn công (0x7fd…6202a) rút tài sản.

  • Giao dịch này cho phép hacker toàn quyền truy cập token trong ví.

  • CertiK cho biết ví nạn nhân đã gọi hàm updateDelegate, chính thức cấp quyền cho hacker trước khi toàn bộ số tiền bị vét sạch.
    
    

• Tổng cộng, số tài sản bị rút ra ước tính 13,5 triệu USD. Đây là một dạng phishing rất phổ biến trong DeFi: kẻ tấn công chỉ cần một chữ ký approve, sau đó có thể liên tục rút tiền cho đến khi quyền bị thu hồi.

Phản ứng từ Venus Protocol

• Ngay sau sự cố, Venus đã nhanh chóng phát thông báo:

  • Tạm dừng toàn bộ giao thức theo quy trình bảo mật.

  • Khẳng định: “Venus không bị exploit. Đây là một vụ phishing nhằm vào cá nhân người dùng. Smart contract vẫn an toàn.”

  • Cho biết đã liên hệ trực tiếp với nạn nhân để tìm giải pháp bảo vệ và khôi phục tài sản.

• Đội ngũ nhấn mạnh nếu mở lại giao thức ngay lúc đó, hacker sẽ tiếp cận số tiền còn lại trong ví phishing. Do đó, quyết định tạm dừng hoạt động được coi là cần thiết.

• Bên cạnh đó, Venus cũng đã phát động Lightning Vote để bỏ phiếu cộng đồng về kế hoạch xử lý khẩn cấp đồng thời hỗ trợ người dùng trong giao thức và nhận được 100% sự đồng thuận. Kế hoạch cụ thể bao gồm:

Kết quả khôi phục

• Sau 5 giờ, Venus thông báo cho phép người dùng điều chỉnh vị thế.
  
  
• Lúc 9:58 PM UTC, mở lại toàn bộ giao thức bao gồm rút tiền và thanh lý.
  
  
• Đặc biệt, Venus cho biết giao thức đã lấy lại toàn bộ số tiền bị mất bằng cách force-liquidation ví hacker – tức ép thanh lý vị thế vay của kẻ tấn công để lấy lại tài sản.
  
  
• Ngay sau khi thông tin được công bố, giá token XVS đã lao dốc xuống mức 5,84 USD. Tuy nhiên, nhờ quy trình xử lý nhanh chóng của đội ngũ Venus, giá đã sớm phục hồi trở lại mốc 6 USD.

Biến động giá XVS trong 24 giờ qua, ảnh chụp màn hình trên CoinGecko lúc 10:30 AM ngày 03/09/2025

Bunni DEX: Bị hack multichain, thiệt hại 8,4 triệu USD

Cũng trong cùng ngày, sàn DEX Bunni đã phải tạm ngừng toàn bộ hoạt động smart contract sau khi bị hack multichain, khiến dự án thiệt hại khoảng 8,4 triệu USD.

🚨 The Bunni app has been affected by a security exploit. As a precaution, we have paused all smart contract functions on all networks. Our team is actively investigating and will provide updates soon. Thank you for your patience.

— Bunni (@bunni_xyz) September 2, 2025

Chi tiết sự cố

• Theo công ty bảo mật blockchain CertiK, vụ tấn công này nhằm vào BunniHub, hệ thống hợp đồng chính của Bunni. 
  
  
• Trên Ethereum, riêng số tiền thất thoát đã lên đến 6 triệu USD từ pool USDC/USDT, trong khi pool ETH/weETH trên Unichain ghi nhận thêm khoảng 2,3 triệu USD bị rút cạn. Tổng cộng, thiệt hại ước tính là 8,3 – 8,4 triệu USD.
  
  
• Dòng tiền bị rút ra đã được truy vết đến hai ví Ethereum. Hiện chưa rõ danh tính kẻ tấn công, song các nhà phân tích on-chain nhận định đây là một vụ khai thác có chủ đích, chứ không phải lỗi tình cờ.
  
  
• Đội ngũ dự án xác nhận đang theo dõi sát sao các giao dịch trong 2 ví trên và gửi tin nhắn on-chain trực tiếp tới hacker.

Bunni tạm dừng toàn bộ smart contract để điều tra

• Ngay sau khi phát hiện sự cố, đội ngũ phát triển Bunni đã thông báo:

“Ứng dụng Bunni đã bị ảnh hưởng bởi một vụ tấn công bảo mật. Như một biện pháp phòng ngừa, chúng tôi đã tạm dừng toàn bộ chức năng smart contract trên tất cả các mạng. Hiện không thể thực hiện rút tiền trong thời gian này. Đội ngũ đang tích cực điều tra và sẽ cập nhật sớm nhất.”

• Dự án cũng cho biết họ đang hợp tác với nhiều đối tác bảo mật lớn, bao gồm Seal 911, Hypernative, Cyfrin Audits, Impossible và BlockSec, để lập “war room” khẩn cấp và chẩn đoán nguyên nhân.

Kết quả vụ hack

• Kể từ thông báo gần nhất được phát đi cách đây khoảng 20 tiếng, đội ngũ Bunni cho biết họ vẫn đang tích cực điều tra. Tuy nhiên, đến nay vẫn chưa rõ nguyên nhân cụ thể dẫn đến vụ hack, tổng số tiền thiệt hại thực tế là bao nhiêu, cũng như phương án bồi thường cho người dùng.
  
  
• Sau thông tin trên, giá BUNNI đã lao dốc hơn 42,9% trong 24 giờ qua và hiện đang dao động quanh mức 0,006415 USD.

Biến động giá BUNNI trong 24 giờ qua, ảnh chụp màn hình trên CoinGecko lúc 10:40 AM ngày 03/09/2025

Coin68 tổng hợp