Điểm đáng chú ý: đây không phải lỗi trong smart contract cốt lõi. Thay vào đó, vấn đề nằm ở khâu vận hành khi khóa quản trị bị lộ, cho phép hacker tạo token mà các giao thức DeFi khác vẫn tạm thời tin là hợp lệ.
Sau khi mint eBTC giả, kẻ tấn công áp dụng chiến lược quen thuộc trong DeFi: dùng tài sản giả làm collateral để vay tài sản thật.
Quy trình được ghi nhận như sau:
Thanh khoản của thị trường eBTC khá thấp, vì vậy hacker không thể chuyển toàn bộ số token giả thành tài sản thật trước khi vụ việc bị phát hiện. Do đó, thiệt hại thực tế chỉ ở mức dưới 1 triệu USD.
Con số 76,7 triệu USD thực chất là giá trị danh nghĩa của 1.000 eBTC được mint trái phép, chứ không phải số tiền bị rút khỏi hệ sinh thái.
Sau khi vụ việc bị phát hiện:
Điều này khiến phần lớn giá trị “76,7 triệu USD” chỉ tồn tại trên giấy và không gây thiệt hại thực sự cho thanh khoản của hệ sinh thái.
Sau khi phát hiện hoạt động bất thường, nhiều dự án liên quan đã hành động nhanh để hạn chế thiệt hại.
Echo Protocol
Curvance
Monad
Các nhà phân tích chỉ ra một số điểm yếu trong quản trị và vận hành:
Khi khóa quản trị bị lộ, kẻ tấn công về cơ bản có quyền hành động như một quản trị viên hợp pháp.
Vụ Echo Protocol phản ánh xu hướng đáng chú ý của ngành DeFi năm 2026: nhiều vụ hack lớn không đến từ lỗi smart contract mà từ việc lộ khóa riêng hoặc lỗi quản trị.
Trong các trường hợp này, mã nguồn có thể hoạt động đúng như thiết kế — nhưng khi khóa quản trị bị chiếm, kẻ tấn công gần như có toàn quyền điều khiển giao thức.
Vụ việc Echo Protocol cho thấy rủi ro lớn trong DeFi không chỉ nằm ở code mà còn ở quản lý quyền quản trị. Dù hacker tạo ra số eBTC trị giá hơn 76 triệu USD, phần lớn chỉ là tài sản giả và không thể rút khỏi hệ sinh thái.
Nhờ việc phát hiện nhanh và dừng hoạt động kịp thời, thiệt hại thực tế được giữ dưới 1 triệu USD — nhưng vụ việc vẫn là lời cảnh báo rõ ràng về tầm quan trọng của multi‑sig, giới hạn mint và cơ chế timelock trong quản trị DeFi.
Comments
0 comments