Vụ khai thác oracle Solido Money: Kẻ tấn công rút 293,7 triệu SUPRA nhờ giá chứng khoán lỗi thời

Cách Kẻ Tấn Công Khai Thác Nguồn Cấp Dữ Liệu Giá Lỗi Thời

Lỗ hổng cốt lõi là một lỗi gán oracle trong hệ thống định giá tài sản thế chấp của Solido Cash — cụ thể là một nguồn cấp dữ liệu giá cũ hoặc được cấu hình sai được sử dụng để định giá tài sản thế chấp SOLID . Giao thức đã dựa vào giá oracle của SOLID đã trở nên lỗi thời hoặc được ánh xạ không chính xác, khiến tài sản thế chấp được định giá cao hơn nhiều so với giá thị trường thực tế . Bằng cách gửi SOLID làm tài sản thế chấp với mức định giá tăng cao này, kẻ tấn công đã có thể rút 293,7 triệu token SUPRA — vượt xa những gì tài sản thế chấp hợp pháp cho phép .

Vụ khai thác diễn ra trong hai đợt tấn công riêng biệt, cả hai đều khai thác cùng một lỗ hổng :

• Đợt A (18:21:35 UTC): Một giao dịch duy nhất đã kết nối nhiều bước — hoán đổi token, gửi chúng làm tài sản thế chấp và đúc CASH mới — thu về 266.778.767 SUPRA .
• Đợt B: Kẻ tấn công lặp lại mô hình tương tự, nâng tổng số lên khoảng 293,7 triệu SUPRA .

Công ty bảo mật PeckShield đã xác nhận vụ vi phạm và khoản lỗ ước tính .

Đáng chú ý, khoảng 90% số tiền bị đánh cắp thuộc về chính Solido Foundation, không phải người dùng bán lẻ. Điều này có nghĩa là quỹ — chứ không phải người cho vay hay người đi vay cá nhân — đã hấp thụ gần như toàn bộ tổn thất .

Nơi Pháp Y Blockchain Truy Tìm Dòng Tiền

Solido Money đã công bố một báo cáo pháp y chi tiết về dấu vết trên chuỗi:

• Khoảng 220 triệu SUPRA — khoảng 84% số token bị đánh cắp — đã được chuyển đến một địa chỉ gửi tiền nghi là Gate.io . Một số nguồn làm tròn con số này lên "gần 90%" số tiền bị đánh cắp (220 triệu trong số 293,7 triệu) . Con số 84% xuất hiện trong báo cáo của chính giao thức và trong nhiều bản tin .
• Kẻ tấn công được cho là đã gửi các token này tại Gate.io để chuẩn bị thanh lý hoặc chuyển chuỗi .
• Solido đã yêu cầu sự hỗ trợ từ các sàn giao dịch để giúp đóng băng và thu hồi tiền .

Một Mô Hình Rộng Hơn: Hai Vụ Khai Thác Oracle Supra Trong Hai Tuần

Vụ khai thác Solido không phải là một sự cố cá biệt. Chỉ 12 ngày trước đó, vào ngày 11 tháng 7 năm 2026, giao thức cho vay dựa trên Hedera là Bonzo Lend đã mất ~9,05 triệu USD thông qua một vụ khai thác oracle liên quan .

Bonzo Lend (ngày 11 tháng 7 năm 2026):

• Kẻ tấn công chỉ gửi 250 token SAUCE (trị giá vài đô la), sau đó gửi một bản cập nhật giá SAUCE/wHBAR giả mạo làm tăng giá trị token lên 12 bậc độ lớn .
• Lỗ hổng là một lỗi chấp nhận chữ ký không BLS trong hợp đồng xác minh trên chuỗi của Supra. Trình xác minh đã chấp nhận một mức giá giả mạo mang chữ ký và khóa công khai bằng không là hợp lệ .
• Trong tám giây, kẻ tấn công đã vay 6,63 triệu USDC và 34,5 triệu wHBAR .

Cả hai giao thức — Solido Money và Bonzo Lend — đều dựa vào Supra làm nhà cung cấp oracle . Hai chế độ thất bại khác nhau xuất hiện từ cùng một cơ sở hạ tầng:

• Lỗ hổng của Bonzo là một lỗi xác minh mật mã (bỏ qua chữ ký không) trong trình xác minh trên chuỗi của Supra .
• Lỗ hổng của Solido là một gán nguồn cấp dữ liệu giá cũ/được cấu hình sai cho tài sản thế chấp SOLID — một loại lỗi oracle khác nhưng vẫn bắt nguồn từ cách dữ liệu giá Supra được đưa vào và xác thực .

Hai sự cố, xảy ra trong vòng hai tuần của nhau, đã đặt hệ sinh thái oracle Supra dưới sự giám sát chặt chẽ hơn. Các nhà phân tích bảo mật đang kêu gọi xác thực dấu thời gian chặt chẽ hơn, chuẩn hóa số thập phân nguồn cấp dữ liệu và tổng hợp đa nguồn để ngăn chặn các vụ khai thác tương tự .

Bài Học Chính Cho Các Giao Thức DeFi

1. Cấu hình oracle sai cũng nguy hiểm như lỗi mật mã. Một nguồn cấp dữ liệu giá lỗi thời có thể bị khai thác hiệu quả như một trình xác minh chữ ký bị hỏng.
2. 90% số tiền bị đánh cắp thuộc về quỹ của giao thức, làm nổi bật mức độ liên kết chặt chẽ của kho bạc dự án với rủi ro giao thức.
3. Sự phụ thuộc vào một oracle duy nhất tạo ra rủi ro hệ thống. Cả Bonzo và Solido đều dựa vào cùng một nhà cung cấp (Supra), tạo ra một loạt các lỗ hổng trên nhiều giao thức.
4. Pháp y chuỗi khối cho phép khả năng truy xuất. Báo cáo pháp y của chính Solido đã truy tìm 84% số tiền bị đánh cắp đến một địa chỉ sàn giao dịch cụ thể, cung cấp cho các nhà điều tra một manh mối rõ ràng.

Vụ khai thác Solido nhấn mạnh một bài học quan trọng: khi các nguồn cấp dữ liệu giá bị hỏng — dù do dữ liệu lỗi thời hay chữ ký giả mạo — thiệt hại có thể lan rộng ra toàn bộ hệ sinh thái.