Hợp đồng vault Thetanuts cũ bị tấn công, thiệt hại 2.1 triệu USD trong vụ tấn công DeFi mới nhất

Kẻ tấn công đã rút khoảng 2.1 triệu USD từ một vault cũ của Thetanuts Finance trong vụ tấn công DeFi mới nhất. Tuy nhiên, các chuyên gia bảo mật đã lấy lại được khoảng 2 triệu USD dưới dạng option token.

Vault bị tấn công là một vault cũ mà Thetanuts đã chuyển đổi công nghệ từ cách đây vài năm. Thetanuts cho biết vault này không liên quan gì đến các sản phẩm đang hoạt động hoặc hệ thống hiện tại của giao thức.

Bên trong vụ tấn công vault Thetanuts trong lĩnh vực DeFi

Các công ty bảo mật blockchain đã phát hiện ra vụ việc này trên X (trước đây là Twitter). SlowMist đã tìm ra nguyên nhân gốc rễ là do lỗi chia số nguyên trong hàm mint của hợp đồng.

Sau khi vault bị rút cạn, công thức tính toán khoản nạp về 0 do làm tròn trong phép chia số nguyên, tạo điều kiện để hacker mint token miễn phí. Lỗi này cuối cùng cho phép tạo token không giới hạn.

PeckShield cho biết kẻ tấn công đã đổi 105,000 USD bằng USDC (USDC) sang khoảng 60 Ethereum (ETH). Ví này hiện còn giữ khoảng 34,000 USD dưới dạng option token.

Theo dõi chúng tôi trên X để cập nhật tin tức mới nhất ngay khi có sự kiện

#PeckShieldAlert @ThetanutsFi has been exploited for $2.1M. It seems $2M in option tokens have been whitehatted. The exploiter has swapped $105K $USDC for ~60 $ETH and holds $34K USDC in option tokens pic.twitter.com/QvyW1ENQFJ

— PeckShieldAlert (@PeckShieldAlert) June 15, 2026

Thetanuts cũng đã lên tiếng về vụ tấn công trong một thông báo công khai.

“Theo điều tra ban đầu của chúng tôi, đây tiếp tục là một vault cũ đã được chuyển đổi từ nhiều năm trước. Vault này không liên quan đến bất kỳ hợp đồng hoặc sản phẩm hiện tại nào của chúng tôi. Chúng tôi sẽ công bố báo cáo chi tiết khi có thêm thông tin,” đội ngũ cho biết.

Vụ tấn công này phù hợp với xu hướng các hacker khai thác lỗ hổng từ các đoạn mã cũ hoặc không còn được duy trì nữa. Những hợp đồng cũ thường vẫn còn tồn tại trên blockchain dù đã ngừng được bảo trì.

Theo BeInCrypto, hacker từng rút khoảng 2.1 triệu USD từ Aztec Connect, một dự án đã dừng hoạt động cách đây ba năm. Một vụ khác xảy ra với Raydium (RAY), khi nền tảng bị rút sạch các pool thanh khoản cũ trị giá khoảng 1.3 triệu USD.

Đăng ký kênh YouTube của chúng tôi để theo dõi các chuyên gia và nhà báo chia sẻ phân tích chuyên sâu