Lỗ hổng quản trị của StablR dẫn đến việc đúc token không được bảo chứng trị giá 12,85 triệu USD

Mở đầu

Nhà cung cấp hạ tầng stablecoin của châu Âu StablR đã chịu một sự cố vi phạm bảo mật nghiêm trọng sau khi các tác nhân trái phép xâm nhập vào các lớp quản trị (governance) hành chính quản lý các hợp đồng thông minh chính của nền tảng trên mạng Ethereum mainnet, theo hãng phân tích blockchain Blockaid. Kẻ tấn công đã khai thác cấu hình đa chữ ký “1 trong 3” yếu để giành quyền kiểm soát các chức năng đúc (minting) của nền tảng, tạo ra 8,35 triệu USDR và 4,5 triệu EURR token hoàn toàn không có tài sản thế chấp. Sự cố dẫn đến tình trạng tách giá mạnh (depeg) trên thị trường: USDR sụp xuống còn 70 cent và EURR giảm 12% xuống khoảng 88 cent, khiến các cơ chế hoàn trả (redemption) chuẩn bị đóng băng trên các sàn giao dịch phi tập trung.

Cơ chế vi phạm: Xâm phạm khóa riêng và cấu hình đa chữ ký kém

Các nhà điều tra an ninh blockchain xác nhận nguyên nhân gốc xuất phát từ ngưỡng quản trị hành chính không đủ chặt chẽ. Pipeline phát hành tài sản cốt lõi của StablR vận hành theo mô hình đa chữ ký “1 trong 3”, nghĩa là kẻ tấn công chỉ cần làm lộ (compromise) một khóa ký mật mã duy nhất để đạt toàn quyền quản trị. Thay vì nhắm vào một lỗ hổng trong logic xử lý giao dịch của giao thức, kẻ tấn công tập trung vào việc xâm phạm hạ tầng khóa riêng của nền tảng. Sau khi có được một khóa, chúng đã cấu hình lại các tham số ví để cô lập những người ký hợp lệ còn lại khỏi cơ chế quản trị, qua đó “chốt” tình trạng chiếm quyền mang tính cấu trúc đối với nền tảng.

Đúc token không có bảo chứng và rút cạn tài sản

Khi các khóa đúc đã được chiếm giữ, kẻ khai thác đã tạo ra một cách có hệ thống 8,35 triệu USDR cùng với 4,5 triệu EURR, bỏ qua toàn bộ yêu cầu xác minh thế chấp fiat từ các tổ chức. Tổng lượng phát hành không có bảo chứng đạt khoảng 12,85 triệu USD dưới dạng tài sản kỹ thuật số nhân tạo.

Tác động thị trường và depeg

Việc bơm đột ngột các stablecoin không có bảo chứng vào thị trường thứ cấp đã kích hoạt một cuộc khủng hoảng thanh khoản nghiêm trọng. Ngay lập tức, kẻ tấn công đã xả lượng token được tạo bất hợp pháp trên các nhóm giao dịch theo cơ chế tự động (automated market pools), làm quá tải các sàn phi tập trung như Curve Finance. Áp lực bán dồn dập khiến USDR sụp xuống dưới các mức hỗ trợ truyền thống, đạt đáy 70 cent. Đồng thời, EURR cũng trải qua sự co thắt tương tự, giảm hơn 12% xuống quanh mức 88 cent. Tình trạng depeg dữ dội đã làm đông cứng các vòng redemption chuẩn, cho thấy chỉ trong vài phút, sự mong manh của lớp quản trị hành chính có thể vô hiệu hóa “độ an toàn” mà thị trường gán cho các công cụ số được cho là có tài sản bảo đảm.