Báo cáo phân tích sự cố tấn công Khoản vay nhanh DUSD

Tóm lại

Vào sáng sớm ngày 20 tháng 1 năm 2026, pool DUSD/USDC Curve của Makina Finance đã bị tấn công bằng Khoản vay nhanh. Kẻ tấn công đã thao túng giá thông qua oracle để đánh cắp khoảng 4,2 triệu đô la. Kẻ tấn công đã sử dụng Khoản vay nhanh 280 triệu USDC để thao túng giá của nhiều pool Curve, kích hoạt chức năng cập nhật AUM không cần cấp phép, cuối cùng rút 1.299 ETH (khoảng 4,13 triệu đô la). Bot MEV đã thu giữ toàn bộ lợi nhuận, và DUSD đã giảm giá xuống còn 0,078 đô la trong thời gian ngắn. Makina Finance đã kích hoạt chế độ bảo mật và khuyến cáo nhà cung cấp thanh khoản thanh khoản rút thanh khoản; tài sản cơ sở không bị ảnh hưởng.

Phân tích cốt lõi

Dòng thời gian sự kiện

Giải thích cơ chế tấn công

Lỗ hổng cốt lõi : Chức năng updateTotalAum() không cần cấp phép của MachineShareOracle cho phép bất kỳ ai cập nhật tổng tài sản được quản lý (AUM)/giá thị phần dựa trên số dư hiện tại của nhóm mà không có bất kỳ độ trễ thời gian hoặc cơ chế xác minh giá nào.

Các bước tấn công :

1. Vay Khoản vay nhanh : Đã vay tổng cộng 280 triệu USDC từ Balancer và Uniswap V3.

   • Số dư tài khoản: 160.590.920 USDC
   • Uniswap V3: 119.409.080 USDC

2. Giai đoạn thao túng giá cả :

   • Các giao dịch lớn đã được thực hiện trên nhiều nhóm Curve khác nhau, sử dụng khoảng 170 triệu USDC.
   • Các nhóm mục tiêu: Nhóm MIM/3Crv, nhóm 3Crv, nhóm DUSD/USDC
   • Số tiền liên quan đến hành vi thao túng: 650 triệu + 3Crv, 52 triệu + MIM

3. Khai thác lỗ hổng Oracle :

   • Gọi MachineShareOracle.updateTotalAum() để cập nhật AUM.
   • Việc thực thi được thực hiện thông qua địa chỉ 0x6b00_BeaconProxy và 0xd1a1_BeaconProxy.
   • Giá thị phần bị thổi phồng được tính toán dựa trên sự thao túng số dư dư quỹ.

4. Rút tiền :

   • Vòng 1: 110 triệu USDC đã được đầu tư, đúc 99.206.722 token DUSDUSDC NHÀ CUNG CẤP THANH KHOẢN , và 9.215.229 DUSD rút.
   • Vòng hai: Lặp lại quy trình, đúc 125 triệu DUSDUSDC NHÀ CUNG CẤP THANH KHOẢN rút thêm 9,2 triệu DUSD.
   • Số DUSD rút sẽ được đổi lấy 112,8 triệu USDC (theo giá trị đã bị thổi phồng).

5. Chuyển đổi lợi nhuận :

   • Đã đổi 4,24 triệu USDC lấy 1.299 WETH trên Uniswap V3.
   • Sau khi giải nén, thu được 1.299 ETH.

6. MEV đã giành được hợp đồng :

   • Robot MEV (0xa6c2...) đang hoạt động ở giai đoạn dẫn đầu, thu giữ toàn bộ 1.299 ETH.
   • Lợi nhuận mà kẻ tấn công dự định thu được đã bị chặn đứng hoàn toàn.

Các địa chỉ chính liên quan

Phân tích dòng tiền

Các giao dịch chuyển nhượng khóa trong giao dịch này (tổng cộng lần sự kiện chuyển nhượng ERC-20):

Thiệt hại ròng : Khoảng 5,1 triệu USDC tương đương rút khỏi pool. Sau khi trừ phí và độ trượt giá, kẻ tấn công dự kiến ​​thu được lợi nhuận ròng khoảng 4,1 triệu USD, nhưng toàn bộ số tiền này đã bị bot MEV chặn đứng.

Diễn biến chuyển tiền tiếp theo : Tính đến ngày 20 tháng 1 năm 2026 UTC, số tiền bị đánh cắp đã được phân phối vào hai ví. Không có hoạt động trộn tiền, Chuỗi xuyên chuỗi hoặc nạp tiền sàn giao dịch nào được ghi nhận, và số tiền vẫn có thể được theo dõi trên Chuỗi.

Đánh giá tác động

Tác động của token DUSD :

• Biến động giá : Giá đã giảm mạnh xuống mức thấp lịch sử 0,078 đô la (-92%) trong phiên giao dịch, trước khi phục hồi một phần lên mức 0,98 đô la.
• Khối lượng giao dịch trong 24 giờ : tăng vọt lên 39,7 triệu đô la.
• Phân bổ lượng coin nắm giữ : 10 địa chỉ hàng đầu nắm giữ khoảng 98% số coin, và những người nắm giữ hàng đầu (74,59%) chưa bán đi đáng kể lượng coin họ đang nắm giữ.
• Tổng lượng cung ứng : 903.132,63 DUSD vẫn ổn định.

Tác động của hồ bơi cong :

• Rút cạn TVL : Số dư DUSD trong pool đã về 0, và khoảng 5 triệu đô la TVL trước khi tấn công đã bị rút cạn hoàn toàn.
• Hành vi nhà cung cấp thanh khoản : Hàng chục giao dịch remove_liquidity được thực hiện sau cuộc tấn công; NHÀ CUNG CẤP THANH KHOẢN đã khẩn trương rút vốn đầu tư theo khuyến cáo.
• Cạn kiệt thanh khoản : Hơn 80% thanh khoản của quỹ đã bị rút ra trong ngày.

Tác động ở cấp độ thỏa thuận :

• Phần còn lại trong tổng giá trị khoản vay nợ (TVL) khoảng 100 triệu đô la của Makina Finance không bị ảnh hưởng.
• Việc cách ly sự kiện trong vị thế DUSD Curve NHÀ CUNG CẤP THANH KHOẢN đảm bảo an toàn cho tài sản cơ sở.
• Điều này cho thấy rủi ro mang tính hệ thống khi phụ thuộc vào một nguồn oracle duy nhất và việc cập nhật AUM mà không cần sự cho phép.

Phản hồi chính thức

Báo cáo Tài chính Makina (2026-01-20 06:42 UTC):

• Sự kiện xác nhận chỉ ảnh hưởng đến vị thế DUSD Curve NHÀ CUNG CẤP THANH KHOẢN .
• Các tài sản cơ bản đều an toàn.
• Chế độ an toàn đã được kích hoạt cho tất cả "Máy" (các thành phần giao thức).
• Khuyến nghị nhà cung cấp thanh khoản bị ảnh hưởng nên rút thanh khoản ngay lập tức.
• Cam kết cập nhật liên tục và tính minh bạch

Chiến dịch khôi phục :

• Gửi tin nhắn Chuỗi cho người nắm giữ địa chỉ MEV, đề nghị phần thưởng 10% để đổi lấy khoản hoàn tiền.
• Tính đến báo cáo mới nhất (ngày 20 tháng 1 năm 2026), chưa có khoản tiền nào được thu hồi.
• Cuộc điều tra vẫn đang tiếp diễn.

Phản hồi từ cộng đồng và chuyên gia an toàn

Phân tích của cơ quan an ninh :

• PeckShield và CertiK nhanh chóng đưa ra cảnh báo chi tiết về cơ chế Khoản vay nhanh và các lỗ hổng bảo mật liên quan đến oracle.
• BlockSec/Phalcon công bố phân tích kỹ thuật từng bước, được trực quan hóa thông qua PhalconExplorer.
• Các chuyên gia chỉ ra rằng việc thiếu thư viện SafeMath và khả năng xác thực theo thời gian thực là những thiếu sót chính.

Tâm lý trên mạng xã hội :

• Việc thảo luận diễn ra khá hạn chế (vào ngày xảy ra vụ việc), chủ yếu tập trung vào thông báo chính thức.
• Người dùng @CryptoPatel cung cấp phân tích chi tiết về cơ chế tấn công và kêu gọi thu hồi quyền ủy quyền hợp đồng. x.com
• Nhìn chung, tâm lý khá thận trọng, tập trung vào việc giảm thiểu rủi ro trước mắt hơn là giải quyết các tranh cãi lan rộng.

Thảo luận về xu hướng ngành :

• Điều này một lần nữa nhấn mạnh những rủi ro tiềm tàng của việc thao túng oracle DeFi và việc chạy trước MEV.
• Điều này đã làm dấy lên lời kêu gọi về các cơ chế bảo vệ đa tầng cho các nhóm stablecoin và tăng cường kiểm toán .
• Điều này có liên quan đến các sự cố lỗ hổng bảo mật khác trong năm 2026, tạo ra một mối đe dọa mang tính hệ thống.

tóm lại

Vụ tấn công Khoản vay nhanh DUSD lần là một ví dụ điển hình về thao túng oracle, phơi bày hoàn toàn tính dễ bị tổn thương của các giao thức DeFi dựa trên cơ chế cập nhật tức thời, không cần cấp phép đối diện các cuộc tấn công tinh vi. Mặc dù về mặt kỹ thuật, thủ đoạn thao túng giá đa pool được thiết kế tỉ mỉ của kẻ tấn công đã thành công rút khoảng 4,1 triệu đô la, nhưng cuối cùng nó đã bị bot MEV chặn lại, dẫn đến một tình huống trớ trêu "bọ ngựa rình ve sầu, không hề hay biết chim vàng anh phía sau".

Sự cố này đã gây ra tổn thất trực tiếp cho người nắm giữ DUSD và nhà cung cấp thanh khoản) của Curve, nhưng phản ứng nhanh chóng và việc tách biệt tài sản của Makina Finance đã ngăn chặn hiệu ứng domino lan rộng hơn. Sự cố này một lần nữa cho thấy những thách thức đa chiều của bảo mật DeFi: nó không chỉ đòi hỏi việc ngăn chặn các lỗ hổng hợp đồng mà còn phải đối phó với các mối đe dọa phức tạp như thao túng oracle, tấn công Khoản vay nhanh và rút MEV. Đối với toàn ngành, đây là một lời cảnh tỉnh đắt giá, nhấn mạnh sự cần thiết của các cơ chế bảo vệ như oracle trì hoãn thời gian, xác minh giá từ nhiều nguồn và kiểm soát truy cập.