Sự cố bảo mật Polymarket: Lỗ hổng từ đối tác bên thứ ba đã khiến tài khoản người dùng bị lộ

Công cụ đăng nhập bên thứ ba trở thành lỗ hổng cho hacker

Nền tảng thị trường dự đoán Polymarket xác nhận ngày 24 tháng 12 năm 2025 đã phát hiện một lỗ hổng bảo mật trong dịch vụ xác thực bên thứ ba khiến kẻ tấn công truy cập, rút sạch tài khoản người dùng. Sự cố này phơi bày rủi ro nghiêm trọng trong hệ sinh thái bảo mật của thị trường dự đoán, đặc biệt với người dùng sử dụng đăng nhập qua email thay vì kết nối ví trực tiếp. Sự kiện cho thấy lỗ hổng nền tảng của các hệ thống tài chính phi tập trung khi tích hợp xác thực bên ngoài mà thiếu cơ chế cách ly rõ ràng.

Hệ thống xác thực bị xâm phạm được nhiều người dùng xác định là Magic Labs, vận hành quy trình đăng nhập “magic link” qua email và tạo ví Ethereum phi lưu ký. Người dùng đăng ký qua dịch vụ này phát hiện nhiều lần đăng nhập trái phép, tiếp đó là tài sản bị rút sạch khỏi tài khoản. Nhiều người nhận cảnh báo đăng nhập bất thường qua mạng xã hội trước khi phát hiện số dư USDC chỉ còn rất nhỏ. Lỗ hổng tồn tại đủ lâu để kẻ tấn công có thể rà soát, khai thác hàng loạt tài khoản trên nền tảng. Giao thức lõi Polymarket không bị ảnh hưởng, vi phạm chỉ giới hạn ở lớp xác thực bên thứ ba. Việc phân định này giúp nhận diện chính xác rủi ro bảo mật của nền tảng dự đoán: ngay cả hệ thống phi tập trung cũng có thể bị tổn thương mạnh do phụ thuộc vào thành phần tập trung. Các trường hợp bị xâm phạm đều xuất phát từ cùng một quy trình xác thực, giúp nhóm bảo mật và nền tảng nhanh chóng nhận diện phương thức tấn công.

Kẻ tấn công đã khai thác lỗ hổng Polymarket để rút tài sản người dùng ra sao

Kẻ tấn công lợi dụng lỗ hổng xác thực bên thứ ba bằng quy trình nhiều bước, vượt qua các lớp bảo vệ mặc định. Khiếm khuyết ở hệ thống đăng nhập qua email cho phép kẻ xấu truy cập trái phép tài khoản mà không bị hệ thống phát hiện gian lận chặn lại. Người dùng nhận liên tiếp các thông báo đăng nhập, cho thấy kẻ tấn công dùng thông tin bị lộ hoặc đánh chặn token xác thực để vào tài khoản. Sau khi truy cập trái phép, kẻ tấn công thực hiện ngay giao dịch chuyển tài sản, rút sạch USDC khỏi ví liên kết với tài khoản Polymarket.

Phân tích kỹ thuật cho thấy điểm yếu nằm ở cách Polymarket triển khai xác thực bên thứ ba. Hệ thống “magic link” vốn thuận tiện cho người dùng lại mở ra đường cho kẻ tấn công vượt xác thực đa lớp trong một số cấu hình. Có trường hợp người dùng nhận thông báo xác thực hai lớp qua email ngay khi bị truy cập trái phép, chứng tỏ kẻ tấn công có quyền truy cập sâu, vượt qua các lớp xác thực thông thường. Tài sản bị chuyển qua nhiều địa chỉ tiền mã hóa với tốc độ rất nhanh, phân tích on-chain cho thấy tiền bị chia nhỏ, rửa qua nhiều ví để xóa dấu vết. Giao dịch diễn ra chỉ trong vài phút kể từ khi tài khoản bị xâm nhập, cho thấy kẻ tấn công sử dụng quy trình tự động, có tổ chức, không phải thao tác thủ công. Điều này phản ánh chiến dịch tấn công chuyên nghiệp, nhắm thẳng vào điểm yếu của nền tảng thị trường dự đoán thay vì tranh thủ chiếm đoạt tài khoản riêng lẻ. Việc không có tín hiệu phê duyệt rõ ràng cho chuyển tiền chứng tỏ lỗ hổng xác thực đã mở toàn quyền kiểm soát cho kẻ tấn công, cho phép chúng thực hiện giao dịch như chủ tài khoản. Polymarket xác nhận lỗ hổng hoàn toàn nằm ở hạ tầng của nhà cung cấp bên thứ ba, không xuất phát từ hệ thống lõi hay logic hợp đồng của nền tảng.

Thất bại bảo mật nghiêm trọng: Nguyên nhân và sai sót của người dùng

Nhiều lỗ hổng bảo mật liên tiếp đã khiến vụ việc này gây tổn thất diện rộng cho tài khoản người dùng. Polymarket đã không giám sát, phân vùng hợp lý dịch vụ xác thực bên thứ ba, để lỗ hổng kéo dài trước khi bị phát hiện. Nền tảng cũng không cách ly rõ giữa hệ thống xác thực và cơ chế chuyển tài sản, dẫn tới khi một lớp bị vi phạm thì tài sản người dùng bị ảnh hưởng trực tiếp. Ngoài ra, quy trình ứng phó sự cố của Polymarket thiếu rõ ràng về thông báo người dùng, khôi phục tài khoản và bồi thường khi xảy ra vi phạm bảo mật.

Bản thân người dùng cũng bỏ lỡ nhiều cảnh báo quan trọng, lẽ ra có thể giảm tổn thất. Nhiều người xác nhận nhận được cảnh báo đăng nhập nghi vấn nhưng không thay đổi thông tin đăng nhập hoặc kích hoạt thêm bảo mật. Một số chỉ tin vào xác thực hai lớp qua email mà không nhận ra lớp này có thể bị qua mặt nếu dịch vụ xác thực bị xâm nhập. Người tạo tài khoản qua bên thứ ba mà không giữ quyền kiểm soát trực tiếp ví đã chấp nhận rủi ro lưu ký không cần thiết của phương thức đăng nhập email. Nhiều người bị ảnh hưởng không áp dụng khuyến nghị sử dụng ví phần cứng hoặc giải pháp lưu ký uy tín, do ưu tiên sự tiện lợi. Không ít nhà giao dịch thị trường dự đoán vận hành đa tài khoản, giao dịch tốc độ cao nên bỏ qua rủi ro bảo mật từ lựa chọn đăng nhập. Vụ việc cho thấy, ngay cả nhà đầu tư tiền mã hóa có kinh nghiệm cũng dễ chủ quan với nguyên tắc bảo mật cơ bản nếu chỉ tập trung vào giao dịch, chưa chú trọng bảo vệ tài khoản.

Hành động khẩn cấp bảo vệ tài sản tiền mã hóa trên thị trường dự đoán

Nhà đầu tư tiền mã hóa đang giao dịch trên thị trường dự đoán cần lập tức thực thi biện pháp bảo mật để bảo vệ tài sản khỏi truy cập trái phép. Ưu tiên chuyển ngay khỏi các hệ thống xác thực bằng email. Nếu duy trì tài khoản trên nền tảng dự đoán, hãy kết nối trực tiếp ví phần cứng như Ledger, Trezor thay vì phụ thuộc vào dịch vụ xác thực trung gian. Cách này loại bỏ nguy cơ bị tấn công từ bên xác thực thứ ba. Nếu chưa thể chuyển ngay khỏi tài khoản email, hãy bật mọi tính năng bảo mật như xác thực hai lớp qua app xác thực thay vì SMS hoặc email, vì xác thực hai lớp qua email vẫn có thể bị vượt qua khi lớp xác thực bị lỗi.

Tiến hành kiểm tra toàn bộ hoạt động tài khoản trên mọi nền tảng dự đoán, giám sát giao dịch trái phép, vị thế đóng hoặc biến động tài sản bất thường. Truy cập lịch sử giao dịch, xác minh từng lệnh, nạp rút đều do bạn thực hiện. Nếu phát hiện vấn đề, liên hệ ngay đội bảo mật nền tảng và lưu lại toàn bộ hồ sơ phục vụ khôi phục hoặc báo cáo quản lý. Nếu nền tảng hỗ trợ, hãy giới hạn truy cập theo vị trí địa lý hoặc địa chỉ IP, phòng trường hợp kẻ tấn công có thông tin đăng nhập vẫn không thể truy cập từ nơi khác. Tài khoản có số dư lớn nên chuyển phần lớn tài sản về ví lạnh hoặc tự quản an toàn, chỉ để lại số vốn cần thiết khi giao dịch. Polymarket và các nền tảng dự đoán nên xem là công cụ giao dịch, không phải kho lưu trữ tài sản. Thường xuyên kiểm tra phương thức xác thực, đổi mật khẩu mỗi 3 tháng hoặc ngay sau mỗi sự cố bảo mật diện rộng như ngày 24 tháng 12 năm 2025. Thiết lập cảnh báo qua email về mọi truy cập hoặc khôi phục tài khoản, tăng khả năng phát hiện xâm nhập từ sớm. Nên dùng email riêng cho tài khoản crypto, tách biệt email chính để giảm thiệt hại nếu bị xâm nhập. Nếu dùng dịch vụ như Gate cho giao dịch hoặc quản lý tài khoản, cần chọn phương thức xác thực mạnh nhất và minh bạch về dữ liệu. Theo dõi thông báo bảo mật, diễn đàn, mạng xã hội và thông báo chính thức của nền tảng để kịp thời cập nhật lỗ hổng, chủ động bảo vệ tài khoản và tài sản của mình.