Vụ trộm cắp ngu ngốc nhất? Hacker đúc 1 tỷ đô la $DOT, vì "lý do này" chỉ trộm được 2,3 triệu đô la

Các vụ tấn công tiền mã hóa liên tiếp xảy ra, nhưng những trường hợp như “liều mạng, kiếm ít” này thật sự hiếm gặp. Hôm nay (13), một hacker đã lợi dụng lỗ hổng của cầu nối Hyperbridge, tự nhiên đúc ra 1 tỷ đồng Polkadot (DOT) trên Ethereum, với giá trị danh nghĩa lên tới 1,19 tỷ USD. Tuy nhiên, khi cố bán số token này, do thiếu thanh khoản nghiêm trọng, cuối cùng chỉ đổi được khoảng 237.000 USD bằng Ether. Cần làm rõ rằng, mục tiêu của hacker là “hợp đồng thông minh cầu nối xuyên chuỗi”, do đó token DOT gốc trên mạng chính Polkadot không bị ảnh hưởng. Lỗ hổng lần này chủ yếu do hợp đồng EthereumHost của Hyperbridge không xác thực chính xác tính xác thực của thông điệp trước khi truyền thông tin xuyên chuỗi đến TokenGateway.

Cầu nối $DOT (@Polkadot) vừa bị khai thác trên @ethereum.

Kiểm soát đã được chuyển sang hợp đồng của kẻ tấn công, sau đó 1 tỷ $DOT được đúc ra và bán ngay lập tức. Giá giảm từ 1,22 USD xuống còn phần nhỏ của một cent.https://t.co/ECDT0RaHE9 pic.twitter.com/WUwxjtsNwr

— Onchain Lens (@OnchainLens) 13 tháng 4, 2026

Cầu nối xuyên chuỗi luôn là phần dễ tổn thương nhất trong kiến trúc blockchain, vì chúng nắm quyền quản lý hợp đồng token. Một khi cơ chế xác thực bị phá vỡ, hacker có thể dễ dàng có quyền đúc token vô hạn. Phương thức tấn công: giả mạo thông điệp, chiếm quyền quản lý, đúc token vô hạn Theo dõi trên chuỗi cho thấy, hacker đã gửi một thông điệp giả mạo qua dispatchIncoming, thành công dẫn hướng đến TokenGateway.onAccept. Hệ thống ban đầu nên dựa vào trạng thái trên chuỗi Polkadot để xác thực tính chính xác của thông điệp này, nhưng cơ chế xác thực lại ghi nhận giá trị hứa hẹn là “toàn số không”, có nghĩa là quá trình xác thực đã bị bỏ qua hoàn toàn hoặc không tồn tại, khiến hệ thống nhầm lẫn thông điệp giả là lệnh hợp lệ. Thông điệp được chấp nhận ngay lập tức kích hoạt chức năng changeAdmin của hợp đồng cầu nối Polkadot, chuyển quyền quản trị cho địa chỉ của kẻ tấn công. Sau khi có quyền quản lý, hacker đã đúc ra 1 tỷ DOT trong một giao dịch, rồi dùng Odos Router V3 chuyển các token này vào pool giao dịch DOT-ETH của Uniswap V4, thực hiện nhiều lần đổi với giá khác nhau, cuối cùng rút ra khoảng 108,2 ETH. “Thiếu thanh khoản” lại trở thành tấm chắn bảo vệ Trong thị trường tài chính, “thiếu thanh khoản” thường là vấn đề đau đầu của các cá mập lớn, nhưng trớ trêu thay, lần này, thiếu thanh khoản lại trở thành tấm chắn vô hình, hạn chế đáng kể lợi nhuận của hacker. Vì thanh khoản DOT trên Ethereum cực kỳ hạn chế, không thể tiêu thụ hết 1 tỷ token đúc ra từ không khí này, khi hacker vội vàng bán tháo để thu lợi, giá trượt mạnh khiến giá thực tế của mỗi token chưa tới 1 cent. Nếu xảy ra trên một cầu nối có thanh khoản sâu hơn hoặc có giá trị cao hơn, cùng một lỗ hổng có thể gây thiệt hại gấp nhiều lần. Tại thời điểm viết bài, giá DOT khoảng 1,17 USD, giảm 5% trong 24 giờ qua. Sự kiện này một lần nữa chứng minh: dù hacker có quyền đúc token vô hạn, thành công trong việc kiếm lời cuối cùng vẫn phụ thuộc vào thanh khoản và độ sâu của thị trường. Tổ chức an ninh blockchain nổi tiếng CertiK đã xác nhận vụ tấn công này, cho biết hacker đã đúc và bán token cầu nối, thu lợi khoảng 237.000 USD. Cho đến thời điểm hiện tại, chính thức Hyperbridge vẫn chưa đưa ra bình luận công khai về vụ việc này.

#CertiKInsight 🚨

Chúng tôi đã phát hiện một lỗ hổng trên hợp đồng gateway của @hyperbridge. https://t.co/h27iDm1JGd

Kẻ tấn công đã vượt qua một thông điệp giả mạo để thay đổi quyền quản trị của hợp đồng token Polkadot trên Ethereum và thu lợi khoảng $237K từ việc đúc và bán 1 tỷ token.

Chờ… pic.twitter.com/3t2n4uq5hy

— CertiK Alert (@CertiKAlert) 13 tháng 4, 2026