Mezo công bố lỗi veBTC, kế hoạch bồi hoàn và đề nghị thu hồi tài sản

Mezo đã công bố báo cáo kỹ thuật về cuộc tấn công ngày 5/10/2026, trong đó 37 vị thế veBTC từ 36 ví bị chuyển đi và khoảng 5,52 BTC bị đưa ra khỏi chuỗi. Dự án cho biết lỗ hổng đã được sửa, chuỗi và cầu nối đã hoạt động lại, còn toàn bộ người dùng bị ảnh hưởng sẽ được bồi hoàn bằng tài sản thuộc giao thức.

Sự cố đáng chú ý không chỉ vì giá trị thiệt hại. Nó cho thấy hai mẫu thiết kế hợp đồng thông minh phổ biến có thể tạo rủi ro khi kết hợp. veBTC cho phép khóa BTC và nhận NFT đại diện cho vị thế cùng quyền biểu quyết. Hợp đồng chia logic sang các thư viện bên ngoài và hỗ trợ meta-transaction qua một forwarder đáng tin cậy.

Kiểm tra người gửi đã thất bại thế nào

Forwarder xác minh chữ ký ngoài chuỗi rồi nối địa chỉ người gửi vào cuối calldata. Hợp đồng đọc 20 byte cuối để xác định người dùng. Khi thực thi chuyển sang thư viện bên ngoài, trình biên dịch tạo bộ đệm mới chỉ từ tham số đã khai báo, nên địa chỉ được nối thêm không đi vào khung mới.

Kẻ tấn công tạo trường dữ liệu để thư viện coi các byte do hắn kiểm soát là người gửi thật. Mục tiêu là những vị thế đã mở khóa nhưng chưa đổi, sau đó BTC được chuyển sang Ethereum và đổi thành 174,61 ETH. Người đọc có thể theo dõi thị trường qua giao dịch BTC spot trên OrangeX.com, nhưng khả năng giao dịch khác với an toàn hợp đồng thông minh.

Ứng phó, bồi hoàn và điều kiện thu hồi

Cuộc tấn công diễn ra từ 18:54 đến 19:06 UTC ngày 5/10. Sáng hôm sau, nhóm phát hiện bất thường, tuyên bố sự cố lúc 09:04, dừng rút qua cầu sau 13 phút và tạm dừng chuỗi lúc 09:27. Lỗi được xác định, sửa chữa, rồi chuỗi và cầu mở lại lúc 15:00.

Mezo vô hiệu hóa meta-transaction vì chưa được dùng trong thực tế và kiểm tra mọi hàm thư viện có thể tiếp cận qua cùng đường xác định người gửi. Ba rủi ro kiểm soát truy cập nhỏ hơn cũng được xử lý bằng cùng bản vá. BTC bồi hoàn sẽ được gửi thẳng vào ví hiện có, không cần truy cập trang phục hồi.

Dự án đề nghị kẻ tấn công trả 4,415417121 BTC trước 23:59 UTC ngày 14/10 và giữ 1,103854280 BTC làm tiền thưởng 20%. Kết quả chưa được xác nhận. Có thể theo dõi tại Tin tức Crypto OrangeX.com và tìm hiểu kiến thức tại OrangeX.com Academy. Bằng chứng Dự trữ OrangeX.com là công cụ minh bạch của sàn, không phải kiểm toán mã giao thức bên thứ ba.

OrangeX.com Analysis

Bài học rõ nhất là các thành phần quen thuộc không đảm bảo tổ hợp an toàn. Chuyển tiếp chữ ký, phân tích calldata và gọi thư viện đều là kỹ thuật phổ biến, nhưng ranh giới giữa chúng tạo lỗi phân quyền mà hai cuộc kiểm toán và chương trình săn lỗi không phát hiện.

Phản ứng nhanh đã hạn chế tổn thất tiếp theo và dự án cam kết bồi hoàn đầy đủ. Tuy nhiên, cần tách các dữ kiện đã xác nhận—số vị thế, số tiền, thời gian và bản vá—khỏi cam kết tương lai như hoàn tất bồi thường, thu hồi tài sản và triển khai hệ thống giám sát mới.