Allbridge tạm dừng cầu Core sau vụ tấn công flash loan gây thiệt hại 1,65 triệu USD

Giao thức cross-chain Allbridge ngày 20/7 đã tạm dừng hoạt động cầu Core, sau khi một kẻ tấn công rút khoảng 1,65 triệu USD từ các pool thanh khoản trên Solana, theo các công ty an ninh blockchain PeckShield và CertiK. Nhóm Allbridge cho biết: "Allbridge Core đang gặp sự cố an ninh và giao thức đã được tạm dừng như một biện pháp phòng ngừa", đồng thời cảnh báo các nhà cung cấp thanh khoản: "Nếu bạn đang cung cấp thanh khoản trong các pool bị ảnh hưởng, vui lòng rút ngay". Allbridge Core cho phép chuyển các stablecoin gốc như USDC và USDT giữa các blockchain thông qua cơ chế pool thanh khoản, thay vì phát hành token bọc (wrapped token). Theo phân tích của Onchain Lens, kẻ tấn công đã vay flash loan 1,12 triệu USD từ giao thức cho vay trên Solana là Kamino (khoản vay được vay và hoàn trả trong cùng một giao dịch), sau đó hoán đổi nhanh USDC và USDT để làm lệch các tỷ lệ nội bộ của pool, rồi rút tài sản theo mức giá có lợi. Số tiền bị đánh cắp được bridge sang một địa chỉ trên Ethereum và tiếp tục được phân tán sang nhiều ví khác. Allbridge cho biết thao tác này khiến các pool mất cân bằng, tạo ra một cửa sổ arbitrage tạm thời. Dự án kêu gọi những trader hưởng lợi từ biến động tỷ lệ hoàn trả tiền để bồi thường cho các nhà cung cấp thanh khoản bị ảnh hưởng. Sự cố lần này gợi lại vụ tấn công flash loan năm 2023 khiến khoảng 650.000 USD bị rút khỏi các pool của Allbridge trên BNB Chain. Trong báo cáo hậu kiểm khi đó, Allbridge cam kết triển khai mô hình mỗi chain chỉ có một pool thanh khoản, nhằm khiến việc thao túng flash loan trong cùng giao dịch trở nên bất khả thi về mặt cấu trúc. Vụ khai thác ngày 20/7 nhắm vào một pool USDC và USDT vận hành song song trên Solana — cấu hình nhiều stablecoin đúng là mục tiêu mà biện pháp khắc phục trước đây hướng tới việc loại bỏ. Allbridge cho biết đã thu hồi phần lớn số tiền sau sự cố năm 2023. Hiện dự án chưa công bố thống kê cuối cùng về phần nào trong 1,65 triệu USD vẫn nằm dưới quyền kiểm soát của kẻ tấn công, cũng như chưa đưa ra mốc thời gian khôi phục hoạt động.