​​【UXLINK遭重大Hacker攻击：超1130万美元被盗，Token bán phá giá lớn超过70% | 事件全解析】​​

Vào ngày 22 tháng 9 năm 2025, dự án cơ sở hạ tầng xã hội Web3 UXLINK đã gặp phải lỗ hổng bảo mật nghiêm trọng nhất trong lịch sử phát triển của mình, ví đa chữ ký (Multi-sig Wallet) do nó quản lý đã bị hacker tấn công, dẫn đến việc tài sản trị giá hơn 11,3 triệu USD bị đánh cắp. Sự kiện này không chỉ gây ra thiệt hại tài chính lớn mà còn thu hút sự chú ý vì sự phát triển sau đó: hacker sau khi đánh cắp tiền, đã tiếp tục lấy quyền đúc token, và phát hành một số lượng token khổng lồ một cách ác ý, dẫn đến giá token UXLINK giảm mạnh hơn 70% trong thời gian ngắn, khiến niềm tin của thị trường bị tổn thương. $UXLINK
🔍 Một, phương pháp tấn công: Lỗ hổng được khai thác như thế nào?
Theo phân tích của nhiều công ty an ninh blockchain (như Cyvers Alerts, PeckShield, Slow Mist), phương thức tấn công chính của Hacker là tận dụng một lỗ hổng quan trọng trong ví nhiều chữ ký của họ - quyền nâng cao deleGateCall.
1. Gỡ bỏ quản trị viên: Hacker đã thực hiện một giao dịch độc hại, sử dụng hàm deleGateCall để gỡ bỏ vai trò quản trị viên ban đầu.
2. Người kiểm soát mới: Sau đó, Hacker đã gọi hàm addOwnerWithThreshold, thành công thêm mình vào danh sách người kiểm soát mới của ví và thiết lập ngưỡng ký tên cần thiết.
3. Kiểm soát hoàn toàn: Thông qua các thao tác trên, Hacker đã hoàn toàn vượt qua cơ chế bảo mật của chữ ký đa số, đạt được quyền kiểm soát tuyệt đối đối với ví đó, có thể ký giao dịch mà không cần sự đồng ý của các chủ sở hữu khóa khác.
Nói một cách đơn giản: Hacker không phải là bẻ khóa bằng sức mạnh, mà giống như đã có được "chìa khóa chính", trực tiếp thay đổi danh sách quyền truy cập và quy tắc mở cửa của kho (ví) tiền, khiến bản thân trở thành người chủ duy nhất.
💰 Hai, quy mô tổn thất: Rốt cuộc đã mất gì?
Hacker đã nhanh chóng chuyển đổi các loại tài sản trong ví sau khi kiểm soát nó, tổn thất ban đầu khoảng 11.3 triệu đô la Mỹ, chủ yếu bao gồm:
• khoảng 400 triệu USDT
• khoảng 500.000 USD
• 3.7 WBTC (giá trị vào thời điểm đó khoảng 230.000 USD)
• 25 ETH (giá trị khoảng 75.000 đô la Mỹ vào thời điểm đó)
• Khoảng 4.9 triệu UXLINK Token (theo giá trị thời điểm đó khoảng 300 triệu USD)
⚠️ Cải tiến thảm họa: Tăng phát độc hại và cú sốc "về không"
Sau khi thành công, Hacker không dừng lại. Vì ví đa ký này có thể vẫn kiểm soát quyền đúc Token (Mint Role), kẻ tấn công sau đó đã điên cuồng phát hành một lượng lớn UXLINK Token trên chuỗi Arbitrum. Số liệu do các tổ chức an ninh khác nhau báo cáo có sự khác biệt nhẹ, nhưng quy mô cực kỳ gây sốc, tổng lượng phát hành nằm trong khoảng từ 10 tỷ đến 20 tỷ đồng, thậm chí có báo cáo cho rằng lượng phát hành cuối cùng đã đạt tới 100 nghìn tỷ đồng.
Các loại Token khổng lồ không rõ nguồn gốc này đã được Hacker chuyển nhanh chóng đến nhiều sàn giao dịch tập trung (CEX) và sàn giao dịch phi tập trung (DEX) để bán tháo, nhằm đổi lấy tài sản như ETH (báo cáo cho biết đã rút khoảng 6732 ETH, trị giá 28.1 triệu USD). Một lượng cung khổng lồ và bất hợp pháp đã đổ vào thị trường, vượt xa khả năng hấp thụ của thị trường, dẫn đến giá Token UXLINK từ khoảng 0.30 USD giảm mạnh xuống 0.07-0.09 USD, với mức giảm lớn nhất vượt quá 70%, giá trên chuỗi thậm chí có lúc cho thấy giảm 99%, vốn hóa thị trường bốc hơi gần 70 triệu USD, toàn bộ hệ thống kinh tế Token gần như sụp đổ.
🤯 Ba, những diễn biến tiếp theo: Hacker cũng bị "hắc ăn hắc"
Một tình huống khá kịch tính trong sự kiện này là, theo các nhà phân tích trên chuỗi, trong quá trình bán tháo các đồng UXLINK bị đánh cắp, một ví của hacker lại bị tấn công lừa đảo, hơn 542 triệu đồng UXLINK mà hắn nắm giữ đã bị một tổ chức lừa đảo nổi tiếng có tên Inferno Drainer lừa đảo. Sự kiện "hắc ăn hắc" này cũng phản ánh một cách gián tiếp những rủi ro an ninh tồn tại khắp nơi trong lĩnh vực tiền điện tử.
🛡 Bốn, các bên dự án cần có biện pháp ứng phó khẩn cấp.
Ngay sau khi sự việc xảy ra, đội ngũ UXLINK đã thực hiện một loạt các biện pháp khẩn cấp:
1. Thông báo và giao tiếp khẩn cấp: Nhanh chóng phát hành thông báo an toàn, xác nhận sự tồn tại của lỗ hổng và duy trì thông tin đồng bộ với cộng đồng.
2. Liên hệ với sàn giao dịch để đóng băng tài sản: Ngay lập tức liên hệ với nhiều sàn giao dịch tập trung và phi tập trung, yêu cầu đóng băng dòng tiền nghi ngờ liên quan đến địa chỉ Hacker. Chính thức cho biết phần lớn tài sản bị đánh cắp đã được đóng băng thành công.
3. Cảnh báo và kiểm toán an ninh: Sự kiện đã được báo cáo cho các cơ quan thực thi pháp luật và các cơ quan quản lý liên quan, và đã thuê các công ty an ninh blockchain chuyên nghiệp, bao gồm PeckShield (派盾), SlowMist (慢雾) để thực hiện theo dõi tiền và kiểm toán lỗ hổng toàn diện.
4. Khởi động kế hoạch hoán đổi Token: Đối với vấn đề phát hành Token quá mức do Hacker tăng cường phát hành ác ý, chính thức UXLINK đã công bố sẽ xây dựng kế hoạch hoán đổi Token, nhằm phục hồi mô hình kinh tế Token theo quy định trong whitepaper và bảo vệ lợi ích của các nhà đầu tư hiện tại. Chi tiết cụ thể sẽ được công bố sau.
5. Cam kết bồi thường: Đội ngũ cam kết sẽ bồi thường cho những người dùng bị thiệt hại, nhưng hiện tại kế hoạch và tỷ lệ cụ thể chưa được làm rõ.
📉 Năm, ảnh hưởng thị trường và phản ứng dây chuyền
• Giá giảm mạnh: Giá của UXLINK Token giảm hơn 70% trong thời gian ngắn, nhà đầu tư chịu thiệt hại nặng nề, tâm lý hoảng loạn lan rộng trên thị trường.
• Quản lý rủi ro giao dịch: Nhiều sàn giao dịch đã nhanh chóng hành động. Ví dụ, một trong những sàn giao dịch lớn nhất Hàn Quốc, Up, đã đưa UXLINK vào "danh sách cảnh báo giao dịch" và tạm ngừng dịch vụ nạp tiền để bảo vệ nhà đầu tư.
• Khủng hoảng lòng tin trong cộng đồng: Sự kiện này đã làm lung lay nghiêm trọng lòng tin của cộng đồng vào dự án UXLINK cũng như tính an toàn của ví đa chữ ký. Nhiều người dùng đã đặt câu hỏi về các biện pháp an ninh và khả năng phản ứng khẩn cấp của phía dự án.
💡 Sáu, Gợi ý an toàn và lời khuyên cho nhà đầu tư
Sự kiện UXLINK một lần nữa đã gióng lên hồi chuông cảnh báo cho toàn ngành công nghiệp tiền điện tử:
1. Chữ ký đa nhân không phải là an toàn tuyệt đối: Thiết kế ví chữ ký đa nhân vốn nhằm tăng cường tính bảo mật, nhưng cấu hình phức tạp và các lỗ hổng mã tiềm ẩn (như lạm dụng deleGateCall) vẫn có thể trở thành điểm tấn công. Kiểm toán mã và quản lý quyền truy cập là vô cùng quan trọng.
2. Cảnh giác với rủi ro "tăng phát hành": Đối với các nhà đầu tư, cần chú ý đến cách quản lý quyền đúc token của dự án. Quyền hạn của hợp đồng cốt lõi có đủ phân cấp và an toàn hay không, có liên quan trực tiếp đến việc token có thể bị giảm giá đột ngột do phát hành ác ý hay không.
3. Quan tâm đến khả năng ứng phó của dự án: Tốc độ phản ứng, tính minh bạch và khả năng xử lý của đội ngũ dự án sau khi sự kiện xảy ra là yếu tố then chốt để giảm thiểu tổn thất và khôi phục niềm tin.
4. Đề xuất hành động cho nhà đầu tư hiện tại:
◦ Giữ cảnh giác: Theo dõi chặt chẽ các thông báo và tiến triển mới nhất được phát hành bởi UXLINK, lấy thông tin chính thức làm chuẩn, tuyệt đối không tin vào tin đồn thị trường.
◦ Tạm dừng giao dịch: Trước khi có giải pháp rõ ràng từ chính thức, khuyến nghị tạm dừng mọi hoạt động mua bán UXLINK Token trên DEX hoặc CEX để tránh gây ra tổn thất không cần thiết hoặc gặp phải cạm bẫy thanh khoản.
◦ Chờ đợi kế hoạch hoán đổi: Kiên nhẫn chờ đợi chi tiết về kế hoạch hoán đổi hoặc bồi thường Token mà chính thức đưa ra, và đưa ra quyết định dựa trên tình hình của bản thân.
💎 Tổng kết
Sự kiện an ninh lần này của UXLINK là một cuộc tấn công "kép" hiếm có và mang tính phá hoại mạnh mẽ, kết hợp giữa việc đánh cắp tài sản và việc phá hủy kinh tế token. Điều này không chỉ phơi bày những lỗ hổng nghiêm trọng ở cấp độ hợp đồng thông minh mà còn thử thách khả năng quản lý khủng hoảng và ứng phó của đội ngũ dự án.
Đối với toàn bộ ngành công nghiệp, đây là một lời nhắc nhở nặng nề: Trong thế giới Web3, an toàn luôn là tuyến sống đầu tiên, bất kể là đối với các dự án hay nhà đầu tư. Hiện tại, sự việc vẫn đang được xử lý, việc thu hồi tài chính, thay thế Token, và xây dựng lại niềm tin sẽ là một con đường dài và đầy thách thức.
‍ #UXLINK # Hacker tấn công #加密货币 # lỗ hổng an ninh #代币增发 # bảo mật blockchain
(Nội dung trên được tổng hợp từ nhiều cơ quan an ninh và báo chí, chỉ mang tính tham khảo, không cấu thành bất kỳ lời khuyên đầu tư nào.)