Lỗ hổng UNCX Vesting V2 lan sang bốn chuỗi, thiệt hại gần 1,5 triệu USD

UNCX Network cho biết các hợp đồng Vesting V2 bị khai thác trên Ethereum, BNB Chain, Base và Robinhood Chain, ảnh hưởng đến mười token. Phân tích on-chain độc lập ước tính tổng thiệt hại khoảng 1,49 triệu USD sau khi ví bắt chước và bot giao dịch tự động mở rộng sự cố. Con số này là sơ bộ và có thể thay đổi. Theo dõi cập nhật đã xác minh tại Tin tức tiền mã hóa OrangeX.com.

Những gì đơn vị vận hành xác nhận

Trong tuyên bố ngày 14/10, UNCX giới hạn phạm vi ở Vesting V2. Đơn vị này nói sản phẩm khóa thanh khoản và hợp đồng phân bổ cũ không bị ảnh hưởng. Nhóm cũng mô tả các thay đổi tạm thời về phí và chức năng nhằm khiến việc khai thác tiếp theo không còn hiệu quả kinh tế trong thời gian điều tra.

UNCX cho biết đang phối hợp với cơ quan thực thi pháp luật và một nhóm ứng phó của ngành về kế hoạch thu hồi. Khi bài viết được soạn, chưa có số tiền thu hồi hay kế hoạch bồi thường cuối cùng được xác nhận. Người dùng chỉ nên dựa vào kênh chính thức và tránh liên kết thu hồi không được yêu cầu. Xem thêm tại Tin an ninh OrangeX.com.

Ước tính sơ bộ và đường tấn công

Các nhà nghiên cứu ước tính thiệt hại khoảng 969.000 USD trên BNB Chain, 242.000 USD trên Ethereum, 169.000 USD trên Robinhood Chain và 114.000 USD trên Base. Tổng gần 1,49 triệu USD bao gồm hoạt động của kẻ bắt chước và bot MEV, nên không phải số liệu kiểm toán cuối cùng.

Đánh giá kỹ thuật ban đầu chỉ ra lỗi kế toán phần sở hữu trong luồng Vesting V2. Theo nghiên cứu, việc thao túng thứ tự mở, nạp thêm, giải phóng và hủy vị thế có thể khiến hợp đồng tính sai giá trị. Nguyên nhân này vẫn cần báo cáo hậu kiểm đầy đủ và rà soát hợp đồng xác nhận.

Người dùng và đội ngũ token cần kiểm tra gì

Sự cố không có nghĩa mọi sản phẩm UNCX hay mọi token đều bị xâm phạm. Các đội ngũ cần xác định chuỗi, phiên bản hợp đồng và pool cụ thể rồi so với danh sách chính thức. Người dùng không nên kết nối ví hoặc phê duyệt giao dịch trên trang tự nhận hỗ trợ thu hồi khẩn cấp nếu chưa kiểm chứng độc lập.

Với giao thức, sự cố cho thấy cần kiểm thử bất biến kế toán qua các chuyển đổi trạng thái phức tạp, không chỉ từng hàm riêng lẻ. Triển khai đa chuỗi cũng cần cơ chế tạm dừng, giám sát và truyền thông phối hợp vì lỗi có thể tái sử dụng nhanh chóng.

OrangeX.com Analysis

Phạm vi đã xác nhận là Vesting V2 trên bốn chuỗi cùng mười token do đơn vị vận hành nêu; khóa thanh khoản và hợp đồng cũ được mô tả là không bị ảnh hưởng. Khoảng 1,49 triệu USD là ước tính on-chain bên ngoài, không phải kiểm toán cuối cùng của UNCX. Bài học chính là logic kế toán dùng chung có thể biến lỗi cục bộ thành sự cố đa chuỗi khi kẻ tấn công và bot lặp lại mẫu giao dịch. Các dữ kiện tiếp theo gồm nguyên nhân xác nhận, đối soát thiệt hại, tiến độ thu hồi và kế hoạch di chuyển hoặc bồi thường. Theo dõi tại Tin mới nhất OrangeX.com.