Aerodrome, sàn giao dịch phi tập trung lớn nhất trên Base, bị nghi ngờ đã gặp phải sự cố bảo mật giao diện người dùng

DNS Hijacking buộc phải đóng giao thức khẩn cấp

Aerodrome Finance, DEX hàng đầu trên chuỗi khối Base, vừa trải qua một cuộc tấn công DNS hijacking tinh vi, làm xâm phạm hạ tầng tên miền tập trung của giao thức. Sự cố này đã khiến người dùng bị lộ thông tin khi truy cập, đặc biệt nhắm đến NFT, ETH và USDC thông qua các yêu cầu ký giao dịch độc hại cài vào giao diện frontend bị chiếm quyền.

Đội kỹ thuật Aerodrome đã phát hiện dấu hiệu bất thường trên hạ tầng tên miền chính khoảng sáu giờ trước khi phát cảnh báo công khai. Việc phát hiện sớm giúp hạn chế tối đa thiệt hại, nhờ đội ngũ kịp thời triển khai các biện pháp ứng phó trước khi vụ tấn công lan rộng.

Trước tình hình nghiêm trọng, giao thức lập tức cảnh báo nhà cung cấp tên miền Box Domains có thể đã bị xâm phạm và yêu cầu xử lý khẩn cấp. DNS hijacking là một trong những phương thức tấn công nguy hiểm nhất trong DeFi, do kẻ tấn công có thể chuyển hướng người dùng sang trang web độc hại mà họ không nhận biết, qua mặt nhiều lớp bảo vệ truyền thống.

Sau vài giờ phát hiện ban đầu, đội ngũ xác nhận hai tên miền tập trung (.finance và .box) đều đã bị chiếm quyền và vẫn do kẻ tấn công kiểm soát. Việc cả hai tên miền bị xâm phạm cho thấy đây là một cuộc tấn công có hệ thống vào hạ tầng của Box Domains, không phải sự cố riêng lẻ.

Giao thức đã quyết liệt ngắt truy cập mọi URL chính nhằm ngăn người dùng tiếp xúc với giao diện độc hại. Đồng thời, đội ngũ thiết lập hai địa chỉ truy cập an toàn đã xác minh: aero.drome.eth.limo và aero.drome.eth.link. Các bản sao phi tập trung này sử dụng Ethereum Name Service (ENS), hoạt động độc lập với DNS truyền thống và vốn có khả năng chống lại kiểu tấn công chiếm quyền DNS như vừa xảy ra.

Đội ngũ nhấn mạnh yếu tố quan trọng giúp giữ vững niềm tin người dùng: hợp đồng thông minh vẫn an toàn tuyệt đối. Sự cố chỉ giới hạn ở điểm truy cập frontend, nghĩa là logic giao thức và tài sản người dùng trong hợp đồng thông minh không bị ảnh hưởng. Phân biệt này giúp nhận diện rõ bản chất giữa tấn công frontend và khai thác lỗ hổng hợp đồng thông minh.

Velodrome—giao thức song hành với Aerodrome—cũng gặp nguy cơ tương tự, buộc đội ngũ phải phát cảnh báo đồng thời về an ninh tên miền. Sự phối hợp này cho thấy kẻ tấn công đã nhắm đến hạ tầng của Box Domains với mục tiêu xâm phạm hàng loạt nền tảng DeFi, ảnh hưởng đến hệ sinh thái các dự án dùng chung nhà cung cấp tên miền.

Người dùng ghi nhận các nỗ lực rút đa tài sản quyết liệt

Ảnh hưởng thực tế của DNS hijacking thể hiện qua các báo cáo chi tiết từ người dùng về việc gặp giao diện độc hại. Một người dùng đã trình bày rõ trải nghiệm, xảy ra trước khi các cảnh báo chính thức lan rộng trong cộng đồng, qua đó cho thấy mức độ tinh vi của phương pháp tấn công.

Giao diện frontend bị chiếm quyền đã triển khai tấn công hai bước lừa đảo, lợi dụng sự tin tưởng vào giao diện quen thuộc. Đầu tiên, trang web yêu cầu ký một giao dịch tưởng chừng vô hại chỉ chứa số "1"—giúp kết nối ví ban đầu và khiến người dùng thiếu cảnh giác vì trông hợp lệ.

Ngay sau khi ký lần đầu, giao diện độc hại liên tục gửi hàng loạt yêu cầu cấp quyền không giới hạn cho nhiều loại tài sản gồm NFT, ETH, USDC và WETH. Cách tấn công dồn dập này nhằm lợi dụng sự tin tưởng đã tạo từ yêu cầu ban đầu—một thủ thuật xã hội phổ biến trong phishing nâng cao.

Nạn nhân đã ghi lại toàn bộ quá trình tấn công bằng ảnh chụp màn hình và video, giúp đội ngũ Aerodrome điều tra cũng như cộng đồng hiểu rõ hơn về mối đe dọa.

Nhận thấy mức độ phức tạp, người dùng đã tự điều tra với trợ giúp AI, kiểm tra cấu hình trình duyệt, tiện ích mở rộng, thiết lập DNS và điểm cuối RPC, qua đó loại trừ các kịch bản tấn công khác trước khi kết luận mô hình quan sát phù hợp với DNS hijacking thay vì mã độc hoặc trình duyệt bị xâm phạm.

Một thành viên cộng đồng khác cũng chia sẻ trải nghiệm gần đây về vụ rút tài sản, dù là chuyên gia tiền điện tử và lập trình viên full-stack. Lời chứng này cho thấy ngay cả người có kỹ năng bảo mật cũng có thể trở thành nạn nhân trước các hình thức tấn công ngày càng tinh vi, khai thác những điểm yếu nhỏ trong trải nghiệm người dùng.

Dù có nền tảng kỹ thuật, người này vẫn mất khoản tài sản lớn và đã dành ba ngày phát triển script chuyên biệt dựa trên Jito bundle nhằm phục hồi tài sản bị đánh cắp qua thao tác on-chain bí mật. Nhờ nỗ lực này, họ lấy lại được khoảng 10-15% số tài sản, cho thấy vừa thách thức khôi phục vừa tiềm năng ứng phó kỹ thuật khi kẻ tấn công để lại dấu vết khai thác được.

Những trải nghiệm trên nhấn mạnh mức độ tinh vi của tấn công frontend và tầm quan trọng của cảnh giác, kể cả với nền tảng quen thuộc. Chúng cũng cho thấy giá trị của cộng đồng chia sẻ kiến thức để nhận diện và phản ứng trước các mối đe dọa mới trong DeFi.

Tháng vừa qua ghi nhận mức thiệt hại hack tiền điện tử thấp nhất năm

Sự cố Aerodrome diễn ra trùng thời điểm thị trường tiền điện tử toàn cầu đạt dấu mốc an toàn bất ngờ, ghi nhận thiệt hại do hack thấp nhất năm trong một kỳ gần đây. Diễn biến tích cực này làm nổi bật mức độ nghiêm trọng của các sự kiện đơn lẻ trên nền cải thiện bảo mật chung của toàn hệ sinh thái.

Dữ liệu từ PeckShield cho thấy chỉ 18,18 triệu USD bị đánh cắp qua 15 vụ việc riêng biệt trong kỳ, giảm mạnh 85,7% so với mức 127,06 triệu USD của tháng trước. Mức giảm này cho thấy sự kết hợp giữa nâng cao bảo mật, năng lực ứng phó sự cố tốt hơn và khả năng hoạt động hacker suy giảm đã góp phần tạo môi trường an toàn hơn.

Phân tích thêm, PeckShield đánh giá nếu không có vụ khai thác cuối tháng nhắm vào Garden Finance, tổng thiệt hại chỉ ở mức 7,18 triệu USD—thấp nhất từ đầu năm 2023, cho thấy có thể là bước ngoặt quan trọng trong cuộc chiến bảo mật toàn ngành.

Thống kê chỉ ra ba vụ lớn chiếm phần lớn thiệt hại: Garden Finance, Typus Finance và Abracadabra bị xâm phạm tổng cộng 16,2 triệu USD, chứng minh chỉ vài vụ nghiêm trọng có thể chi phối toàn bộ số liệu bảo mật tháng.

Garden Finance, giao thức Bitcoin ngang hàng, công bố bị khai thác hơn 10 triệu USD vào cuối tháng. Sự cố xảy ra khi một solver—thực thể chuyên biệt hỗ trợ vận hành giao thức—bị xâm phạm. Dự án nhấn mạnh thiệt hại chỉ ảnh hưởng đến kho tài sản của solver gặp sự cố, không liên quan tài sản người dùng trong hợp đồng thông minh, nhờ đó giới hạn phạm vi tổn thất.

Typus Finance bị tấn công thao túng oracle giữa tháng, khiến khoảng 3,4 triệu USD bị rút khỏi pool thanh khoản. Đội bảo mật truy vết đến lỗ hổng nghiêm trọng trong hợp đồng TLP (Token Liquidity Pool). Thị trường lập tức phản ứng, token gốc giảm khoảng 35% sau khi tin tức lan truyền. Tấn công thao túng oracle đặc biệt nguy hiểm trong DeFi vì phá vỡ cơ chế cung cấp giá mà nhiều giao thức dựa vào để vận hành.

Nền tảng DeFi Abracadabra chịu khai thác thứ ba kể từ khi ra mắt, gây thiệt hại khoảng 1,8 triệu USD với stablecoin MIM. Hacker đã lợi dụng lỗ hổng hợp đồng thông minh để vượt kiểm tra khả năng thanh toán của giao thức. Việc liên tiếp bị khai thác làm dấy lên nghi vấn về mức độ kiểm toán bảo mật và thách thức đảm bảo mã nguồn an toàn cho các giao thức DeFi phức tạp.

Dù các sự kiện này gây thiệt hại đáng kể, tổng thể cho thấy sự đa dạng của các phương thức tấn công vẫn đe dọa DeFi: từ thao túng oracle, lỗ hổng hợp đồng thông minh, solver bị xâm phạm đến tấn công frontend. Tổng thiệt hại thấp cho thấy có tiến bộ, nhưng các vụ khai thác lớn vẫn diễn ra chứng tỏ cần nỗ lực hơn để bảo vệ toàn diện hệ sinh thái.

Câu hỏi thường gặp

Aerodrome là gì và đóng vai trò nào trên chuỗi Base?

Aerodrome là DEX hàng đầu của Base, cho phép hoán đổi token, cung cấp thanh khoản và khai thác lợi nhuận. Giao thức giúp giao dịch và triển khai vốn hiệu quả trên toàn hệ sinh thái Base thông qua cơ chế tạo lập thị trường tự động.

Lỗ hổng bảo mật frontend cụ thể là gì? Ảnh hưởng ra sao đến an toàn tài sản người dùng?

Sự cố frontend khiến giao diện DEX bị xâm phạm, có thể làm lộ dữ liệu phiên người dùng và thông tin giao dịch. Tuy nhiên, tài sản người dùng vẫn an toàn trong hợp đồng thông minh do lỗ hổng không truy cập được tầng blockchain. Người dùng chỉ bị gián đoạn dịch vụ tạm thời mà không mất tài sản trực tiếp.

Người dùng giao dịch trên Aerodrome nên thực hiện biện pháp khẩn cấp nào để bảo vệ tài sản?

Ngay lập tức ngắt kết nối ví khỏi nền tảng, thu hồi quyền cấp phép token qua blockchain explorer, chuyển tài sản sang ví tự lưu trữ an toàn, kích hoạt bảo vệ đa chữ ký, theo dõi tài khoản để phát hiện giao dịch trái phép và không sử dụng giao diện bị ảnh hưởng cho đến khi xác nhận bản vá bảo mật đã triển khai.

Sự khác biệt giữa lỗ hổng frontend và lỗ hổng hợp đồng thông minh là gì? Loại nào rủi ro hơn?

Lỗ hổng frontend ảnh hưởng đến giao diện người dùng, gây nguy cơ phishing hoặc lộ thông tin. Lỗ hổng hợp đồng thông minh trực tiếp đe dọa tài sản và giao dịch trên chuỗi. Lỗ hổng hợp đồng thông minh nguy hiểm hơn vì có thể gây mất tài sản vĩnh viễn, còn sự cố frontend thường chỉ ảnh hưởng đến thông tin người dùng.

Các sự cố bảo mật frontend DEX như thế này từng xảy ra chưa? Phòng tránh thế nào?

Đã có các cuộc tấn công frontend nhắm vào nhiều DEX trước đây. Các biện pháp phòng ngừa gồm: dùng ví phần cứng, kiểm tra kỹ URL, bật tiện ích xác minh tên miền, kiểm tra bản ghi DNS và chỉ sử dụng app link chính thức. Bảo vệ đa chữ ký và kiểm toán định kỳ cũng giúp nâng cao an ninh.

Sự kiện này có tác động gì đến các nền tảng DEX khác trên chuỗi Base?

Sự cố này cho thấy việc kiểm toán bảo mật frontend là cấp thiết với mọi DEX trên Base. Các nền tảng khác cần tăng cường biện pháp bảo vệ, triển khai kiểm soát đa tầng và kiểm tra an ninh thường xuyên để ngăn nguy cơ bị tấn công frontend, bảo vệ tài sản người dùng.