Vụ khai thác Tectonic trị giá 75 triệu USD: TONIC bị thổi giá để rút cạn DeFi trên Cronos

Vụ việc tại Tectonic không được mô tả là một cuộc tấn công nhằm vào sàn giao dịch hay ứng dụng dành cho người dùng của Crypto.com. Đây là một vụ khai thác tài chính phi tập trung (DeFi) tập trung vào khâu định giá: kẻ tấn công được cho là đã đẩy giá TONIC, token quản trị có thanh khoản thấp của Tectonic, lên mức nhân tạo; sau đó gửi TONIC bị định giá quá cao làm tài sản thế chấp để vay các tài sản thanh khoản hơn từ giao thức.

Các bản tin sơ bộ ước tính số tiền bị rút vào khoảng 66–75 triệu USD, dù một phân tích on-chain khác đưa ra con số 119,5 triệu USD. Tectonic chưa xác nhận khoản thiệt hại cuối cùng tại thời điểm các báo cáo được công bố. 291126

Vụ khai thác Tectonic đã diễn ra như thế nào?

Điểm yếu nằm ở mối liên hệ giữa giá thị trường của một token và khả năng vay của người dùng. Một giao thức cho vay sử dụng oracle — nguồn hoặc cơ chế cung cấp dữ liệu giá cho hợp đồng thông minh — để ước tính giá trị tài sản thế chấp. Mức định giá đó quyết định người dùng có thể vay bao nhiêu tài sản khác.

Theo các phân tích on-chain được báo chí dẫn lại, kẻ tấn công đã thao túng giá TONIC tăng khoảng 100 lần trong vòng 20 phút. Khi giá bị thổi phồng, lượng TONIC nắm giữ trông như đủ giá trị để bảo đảm các khoản vay bằng những tài sản có thanh khoản cao hơn. Đây là mô thức quen thuộc trong DeFi: thao túng một thị trường mỏng, dùng mức giá sai lệch làm tài sản thế chấp rồi rút các tài sản không phụ thuộc vào token bị thao túng. 81826

Trình tự giao dịch chính xác và cách tính khoản thiệt hại cuối cùng vẫn đang được điều tra. Vì vậy, các con số tính theo USD được nhắc đến rộng rãi hiện chỉ là ước tính về lượng tiền bị rút hoặc có nguy cơ bị rút, chưa phải con số thiệt hại cuối cùng đã được xác nhận của người gửi tiền. 21117

Vì sao thanh khoản TONIC và oracle lại quan trọng?

Hệ số thế chấp giới hạn số tiền có thể vay dựa trên một loại tài sản. Bảng thông số thị trường tiền tệ do Tectonic công bố liệt kê TONIC với hệ số thế chấp 20%, mức phạt thanh lý 10%, close factor 50% và giới hạn cung 50 nghìn tỷ TONIC; bảng này không cho thấy giới hạn vay riêng đối với TONIC. 25

Hệ số thế chấp 20% có thể hạn chế đòn bẩy trong điều kiện bình thường, nhưng không giải quyết được vấn đề nền tảng: nếu giao thức chấp nhận một mức giá đã bị thao túng, giá trị on-chain của tài sản thế chấp có thể bị thổi phồng trước khi hệ số 20% được áp dụng. Một token chỉ đáng giá rất ít trong thị trường thực có thể bị xem là đủ sức bảo đảm cho một khoản vay lớn nếu oracle phản ánh mức giá nhân tạo.

Vì thế, rủi ro tài sản thế chấp không chỉ là câu chuyện về lỗi trong mã hợp đồng thông minh. Thị trường cho vay còn phải tính đến độ sâu thanh khoản, nguồn và cách xây dựng dữ liệu giá, giới hạn cung và vay theo từng tài sản, điều kiện thanh lý, cũng như cơ chế tạm dừng vay khi giá biến động bất thường.

Tình hình tài chính của Tectonic trước vụ tấn công

Theo dữ liệu được The Block dẫn từ DefiLlama, trước sự cố Tectonic có khoảng 121,7 triệu USD tổng giá trị bị khóa (TVL) và khoảng 82,7 triệu USD các khoản vay đang hoạt động. 26

Những con số này cho thấy vì sao một vụ rút tiền trị giá hàng chục triệu USD có thể đe dọa người cho vay, ngay cả khi một phần tài sản vẫn còn trên Cronos. Rủi ro của giao thức không chỉ nằm ở lượng TONIC do kẻ tấn công nắm giữ: người dùng khác đã vay tài sản từ các pool cho vay chung, khiến người gửi tiền phụ thuộc vào giá trị tài sản thế chấp còn lại và số tiền có thể thu hồi.

Cronos đã ngăn dòng tiền đi xa hơn ra sao?

Sau khi phát hiện vụ khai thác Tectonic, các validator của Cronos đã dừng sản xuất block trên toàn mạng lưới. Các báo cáo cho biết biện pháp này ngăn kẻ tấn công hoàn tất thêm những giao dịch chuyển tiền và giao dịch qua cầu nối. Chỉ khoảng 6 triệu USD được cho là đã đến Ethereum, trong khi khoảng 60 triệu USD hoặc hơn vẫn còn trên Cronos. 3451014

Tuy nhiên, “bị mắc kẹt” trên blockchain không đồng nghĩa với “đã được thu hồi”. Việc thu hồi còn phụ thuộc vào quy trình khởi động lại mạng lưới, cách xử lý các địa chỉ liên quan, khả năng di chuyển hoặc đóng băng tài sản sau khi mạng hoạt động trở lại, cùng quyết định của giao thức và các bên có trách nhiệm.

Việc dừng cả mạng lưới cũng tạo ra một rủi ro vận hành riêng. Biện pháp này có thể giúp bảo toàn tài sản trong tình huống khẩn cấp, nhưng đồng thời làm gián đoạn hoạt động của toàn bộ người dùng và cho thấy mức độ phụ thuộc của Cronos vào sự phối hợp giữa các validator cũng như quy trình khôi phục mạng. 7

Crypto.com có bị hack không?

Các thông tin hiện có mô tả Tectonic là một giao thức DeFi vận hành độc lập trên blockchain Cronos, hệ sinh thái có liên hệ với Crypto.com. CEO Crypto.com cho biết ứng dụng chính và sàn giao dịch của công ty không bị ảnh hưởng. Không có nguồn nào được cung cấp xác nhận việc số dư khách hàng trên các nền tảng đó bị xâm phạm. 36926

Do đó, tác động trực tiếp tập trung ở Tectonic và mảng DeFi trên Cronos. Những hệ quả rộng hơn gồm việc mạng lưới bị gián đoạn, người cho vay và người đi vay đối mặt với bất định, đồng thời niềm tin vào hệ sinh thái Cronos chịu sức ép.

Điểm tương đồng với Moonwell và Mango Markets

Về mặt kinh tế, vụ Tectonic có nét tương đồng với sự cố Moonwell liên quan đến MAMO vào tháng 8/2026. Báo cáo điều tra sau sự cố của Moonwell cho biết cuộc tấn công kết hợp việc thao túng giá oracle của MAMO với việc làm phồng cách tính tài sản thế chấp. Các báo cáo khác cho biết kẻ tấn công đã dùng giá trị MAMO bị thổi phồng để vay những tài sản thanh khoản từ các thị trường Moonwell trên Base. 273031

So sánh với Mango Markets rộng hơn nhưng vẫn hữu ích. Trong sự cố năm 2022, kẻ tấn công đã đẩy giá MNGO, một token có thanh khoản thấp, lên cao. Mức định giá bị thao túng sau đó được đưa vào các phép tính rủi ro của nền tảng, giúp kẻ tấn công vay những tài sản khác dựa trên vị thế MNGO bị thổi phồng. 3647

Các giao thức và biện pháp bảo vệ trong những vụ việc này không hoàn toàn giống nhau. Điểm chung hẹp hơn là: một hệ thống cho vay có thể bị rút cạn nếu cho phép giá thị trường dễ thao túng quyết định lượng thanh khoản thực mà người vay được tiếp cận.

Những vấn đề nào vẫn chưa được giải quyết?

Một số câu hỏi vẫn còn bỏ ngỏ trong các báo cáo mới nhất:

• Khoản thiệt hại hoặc số tiền có thể thu hồi cuối cùng chưa được xác định. Các ước tính dao động từ khoảng 66 triệu đến 75 triệu USD, trong khi một phân tích đưa ra con số 119,5 triệu USD. 21126
• Cronos chưa công bố đầy đủ quy trình khởi động lại mạng lưới hoặc thời điểm cụ thể trong các báo cáo hiện có. 11
• Tình trạng của các địa chỉ liên quan đến vụ khai thác, cũng như các biện pháp thu hồi hoặc đưa vào danh sách chặn, vẫn đang được cập nhật. 10
• Không có nguồn nào cho thấy người gửi tiền tại Tectonic được bảo đảm hoàn trả.

Số tiền mà người cho vay cuối cùng nhận lại sẽ phụ thuộc vào lượng tài sản còn bị giữ trên Cronos, số tài sản đã được chuyển sang mạng khác, các biện pháp hậu sự cố của giao thức và việc liệu quản trị giao thức, quỹ dự trữ, bảo hiểm, các bên liên kết hay một chủ thể khác có bù đắp phần thiếu hụt hay không. Cho đến khi những quyết định này được công bố rõ ràng, không nên gọi tài sản “đang bị mắc kẹt” là tài sản “đã được hoàn trả”.

Vụ Tectonic nói gì về an ninh DeFi năm 2026?

Sự cố Tectonic xảy ra trong một năm có tần suất sự cố an ninh crypto đặc biệt cao. CoinGecko ghi nhận 164 vụ hack và khai thác crypto tính đến đầu tháng 8/2026 — cao hơn số vụ của bất kỳ năm trọn vẹn nào trước đó trong bộ dữ liệu của họ. Trong khi đó, The Defiant cho biết quý II đã lập kỷ lục về số vụ khai thác DeFi, dù các đơn vị theo dõi đưa ra những con số khác nhau. 3943

Bài học quan trọng không chỉ là ngày càng có nhiều giao thức bị tấn công. Tectonic và Moonwell cho thấy một thị trường có thể thất bại ngay cả khi điểm yếu trung tâm không phải là lỗi mã thông thường. Các cuộc kiểm toán an ninh cần kiểm tra thêm những câu hỏi như:

• Một tài sản có thanh khoản thấp có nên được chấp nhận làm tài sản thế chấp hay không?
• Oracle có chống chịu được thao túng giá trong ngắn hạn không?
• Giới hạn cung và vay có phản ánh thanh khoản thực của thị trường không?
• Cơ chế thanh lý có hoạt động được khi giá tài sản sụp đổ không?
• Cơ chế tự động tạm dừng có thể hạn chế hoạt động vay trước khi thanh khoản chung bị rút cạn không?

Với người dùng, rủi ro thực tế là một token có thể trông rất có giá trị trên giao diện cho vay, dù thị trường thực tế không có đủ thanh khoản để hỗ trợ mức định giá đó. Với các giao thức, thông điệp cũng rõ ràng: thông số tài sản thế chấp, thiết kế oracle và cơ chế ứng phó khẩn cấp đều nằm trong ranh giới an ninh của hệ thống — không phải những cài đặt phụ có thể bổ sung sau khi hợp đồng thông minh đã được kiểm toán.