Báo cáo an ninh tháng 8 của Web3: 29 sự kiện an ninh chính, tổng thiệt hại hơn 68,29 triệu USD

Vào tháng 8 năm 2026, nguyên nhân chính của các sự kiện an ninh nghiêm trọng chủ yếu là do lỗ hổng hợp đồng, trong đó có 18 sự kiện an ninh do lỗ hổng hợp đồng/mạng và 2 sự kiện bị thiệt hại do rò rỉ khóa riêng, an ninh hợp đồng thông minh và quản lý khóa riêng vẫn là những điểm yếu trong an ninh Web3.

Tác giả: Beosin

Theo dữ liệu giám sát từ nền tảng Beosin Alert, vào tháng 8 năm 2026, tổng thiệt hại từ các sự kiện an ninh lên tới khoảng 76,15 triệu USD, với tổng cộng 29 sự kiện an ninh nghiêm trọng xảy ra, nguyên nhân chủ yếu là do lỗ hổng hợp đồng. Trong đó, có 18 sự kiện an ninh do lỗ hổng hợp đồng/mạng và 2 sự kiện bị thiệt hại do rò rỉ khóa riêng, an ninh hợp đồng thông minh và quản lý khóa riêng vẫn là những điểm yếu trong an ninh Web3.

Top 10 thiệt hại tháng 8

Vào ngày 13 tháng 8, địa chỉ người dùng cá nhân 0x13e3....179e đã bị đánh cắp WBTC, cbBTC, LDO, USDS, CRV và các tài sản tiền điện tử khác do rò rỉ khóa riêng, tổng thiệt hại khoảng 25,6 triệu USD, là sự kiện an ninh có thiệt hại thực tế lớn nhất. Vào ngày 30 tháng 8, giao thức cho vay Tectonic trên mạng Cronos đã bị tấn công bởi hacker do lỗ hổng hợp đồng, dự kiến thiệt hại khoảng 74 triệu USD. Cuộc tấn công này đã khiến mạng Cronos phải thực hiện các biện pháp khẩn cấp, tạm ngừng mạng và hoàn trả giao dịch, hacker cuối cùng đã chuyển khoảng 6 triệu USD sang mạng Ethereum thông qua giao dịch xuyên chuỗi.

Ngoài ra, chuỗi công cộng Harmony đã bị phát hành thêm khoảng 4 tỷ mã thông báo ONE do lỗ hổng, thiệt hại danh nghĩa vượt quá 4 triệu USD, nhưng cuối cùng đã xóa trạng thái mã thông báo giả mạo thông qua việc hoàn trả giao dịch, do đó không được tính vào thiệt hại.

Các loại dự án bị tấn công và tình hình thiệt hại trên các chuỗi

Các đối tượng bị tấn công trong tháng này bao gồm nhiều loại như chuỗi công cộng, giao thức cho vay, ứng dụng ví, hợp đồng mã thông báo, cầu nối xuyên chuỗi, người dùng cá nhân, trong đó các dự án DeFi có thiệt hại lớn nhất, lên tới 33,09 triệu USD; trong khi địa chỉ cá nhân do rò rỉ khóa riêng hoặc lừa đảo thiệt hại khoảng 28,4 triệu USD. Số lần tấn công vào các hợp đồng mã thông báo là nhiều nhất, thống kê là 10 lần; các hợp đồng DeFi đứng thứ hai với tổng cộng 9 lần bị tấn công.

Chuỗi có thiệt hại lớn nhất trong tháng 5 là Ethereum, với thiệt hại vượt quá 48,58 triệu USD, tổng cộng 15 sự kiện an ninh, hiện tại hầu hết các giao thức DeFi và các cuộc tấn công lừa đảo nhắm vào cá voi vẫn chủ yếu diễn ra trên Ethereum. Chuỗi có số lần an ninh xảy ra nhiều thứ hai là BNB Chain, nhưng mục tiêu tấn công chủ yếu là các hợp đồng mã thông báo, thiệt hại tương đối nhỏ. Ngoài ra, các chuỗi công cộng như Cronos, Base, Harmony, Bitcoin, Solana cũng đã xảy ra các sự kiện an ninh, cho thấy tình hình tấn công trên nhiều chuỗi.

Phân tích các sự kiện an ninh chính

1. Tectonic và Moonwell: thao túng giá

Tectonic và Moonwell là các giao thức cho vay trên chuỗi, nguyên nhân bị tấn công đều là do giá của các tài sản thế chấp là các mã thông báo có tính thanh khoản yếu bị thao túng, từ đó cho vay tài sản vượt mức giá trị tài sản ảo. Trong cuộc tấn công vào Tectonic, kẻ tấn công đã đẩy giá của mã thông báo quản trị Tectonic $TONIC lên 100 lần, đạt được hạn mức vay khoảng 74 triệu USD, sau đó cho vay các tài sản như USDT. Sau sự kiện, mạng Cronos đã tạm ngừng toàn bộ chuỗi để xử lý, kẻ tấn công đã chuyển khoảng 6 triệu USD sang Ethereum trước khi mạng tạm ngừng. Sau đó, mạng Cronos đã thực hiện hoàn trả để khôi phục thiệt hại.

Địa chỉ thu lợi nhuận của hacker trên Ethereum: 0xc404160B79BD8905061a1cAecBeCa2EEab3f72DD và dòng tiền bị đánh cắp:

Hiện tại khoảng 2659 ETH vẫn được lưu trữ tại 0xc4041, 140,1 ETH đã được chuyển đến 0x6df89c42f0abdfaa2b5b77edcdafbc945ed6ee6c và tiếp tục được phân tán gửi đến nhiều địa chỉ mới được tạo ra.

Moonwell đã bị tấn công do kẻ tấn công thao túng giá của mã thông báo MAMO có tính thanh khoản thấp để cho vay cbBTC, thiệt hại khoảng 8,7 triệu USD:

Hai cuộc tấn công này không phải do lỗ hổng hợp đồng thông minh mà là do giá trị tài sản thế chấp được tính toán sai từ tính thanh khoản yếu của thị trường giao ngay. Để tránh các cuộc tấn công như vậy, giao thức có thể thu thập dữ liệu từ nhiều oracle khác nhau và thực hiện các đánh giá bổ sung đối với các biến động giá mạnh.

2. Harmony: tấn công phát lại

Harmony là một Layer 1 hỗ trợ phân đoạn, chạy bốn phân đoạn và chuyển tài sản giữa chúng thông qua cơ chế xuyên phân đoạn bất đồng bộ dựa trên biên nhận. Phân đoạn nguồn tạo ra biên nhận mã hóa cho giao dịch ra ngoài, phân đoạn mục tiêu sẽ chịu trách nhiệm xác minh biên nhận và chứng minh Merkle trước khi ghi nhận giao dịch, và mỗi biên nhận chỉ có thể được sử dụng một lần.

Lỗ hổng trong cuộc tấn công này nằm ở phần còn lại của hệ thống phân đoạn Harmony. Trước đó, Harmony đã kiểm tra xem biên nhận phân đoạn đã được sử dụng hay chưa bằng cách xem hai trường CXMerkleProof.ShardID và BlockNum,

Vì hai trường này nằm ngoài tiêu đề khối đã ký, nên kẻ tấn công có thể sửa đổi mà không làm hỏng bất kỳ chức năng hiện có nào. Trong cuộc tấn công này, kẻ tấn công đã lấy một biên nhận xuyên phân đoạn và sửa đổi ShardID và BlockNum bên trong, khiến cho trình xác thực nhận diện nó như một biên nhận hoàn toàn mới. Phân đoạn mục tiêu đã chấp nhận biên nhận đã sửa đổi và ghi nhận lại, trong khi phân đoạn ban đầu không trừ đi tài sản tương ứng.

Đây là một cuộc tấn công phát lại rất điển hình. Đối với bất kỳ trường nào được sử dụng làm

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.