CrossCurve bị hack, thiệt hại khoảng 3 triệu USD

CrossCurve yêu cầu tạm dừng toàn bộ tương tác

Trong thông báo chính thức đăng tải trên mạng xã hội X, CrossCurve cho biết cây cầu cross-chain của dự án đang “chịu một cuộc tấn công liên quan đến việc khai thác lỗ hổng trong một hợp đồng thông minh được sử dụng”. Dự án kêu gọi người dùng tạm dừng mọi hoạt động và tương tác với CrossCurve cho đến khi quá trình điều tra hoàn tất.

Động thái này được đánh giá là bước đi cần thiết nhằm hạn chế thiệt hại lan rộng, đồng thời tạo điều kiện để đội ngũ kỹ thuật xác định chính xác nguyên nhân sự cố và phạm vi ảnh hưởng.

Theo thông tin từ Defimon Alerts, tài khoản chuyên theo dõi các sự cố bảo mật blockchain, CrossCurve đã bị hack khoảng 3 triệu USD “trên nhiều mạng lưới”. Nguyên nhân chính được cho là xuất phát từ một lỗ hổng trong hợp đồng thông minh, cho phép kẻ tấn công giả mạo thông điệp cross-chain để vượt qua cơ chế xác thực.

CrossCurve @crosscurvefi (ex https://t.co/4HJ33uOZUS) has been exploited for around 3 million on several networks.

Anyone could call expressExecute on ReceiverAxelar contract with a spoofed cross-chain message, bypassing gateway validation and triggering unlock on PortalV2.… pic.twitter.com/EfYe3Tfo9v
— Defimon Alerts (@DefimonAlerts) February 1, 2026

Cụ thể, hacker có thể gọi hàm expressExecute trên hợp đồng ReceiverAxelar bằng một thông điệp giả, từ đó bỏ qua bước kiểm tra của gateway và kích hoạt việc mở khóa token trên PortalV2. Lỗ hổng này khiến hệ thống bridge không thể phân biệt giữa thông điệp hợp lệ và thông điệp bị giả mạo, dẫn đến việc tài sản bị rút trái phép.

Curve Finance cảnh báo người dùng liên quan

Curve Finance cũng đã lên tiếng sau sự cố. Curve Finance khuyến nghị những người dùng đã phân bổ phiếu bầu cho các pool liên quan đến CrossCurve nên rà soát lại vị thế của mình và cân nhắc rút các phiếu bầu đó.

In light of the recent security incident involving https://t.co/3Wv3pEhCu8 (== CrossCurve):

Users who have allocated votes to Eywa-related pools may wish to review their positions and consider removing those votes. We continue to encourage all participants to remain vigilant and… https://t.co/chd5YBOXhr
— Curve Finance (@CurveFinance) February 1, 2026

Đồng thời, Curve Finance nhấn mạnh việc người dùng cần duy trì sự thận trọng và đưa ra các quyết định có cân nhắc rủi ro khi tương tác với các dự án bên thứ ba, đặc biệt trong bối cảnh các hệ thống bridge và hợp đồng thông minh phức tạp vẫn tiềm ẩn nhiều nguy cơ bảo mật.

Đề nghị hoàn trả tài sản và treo thưởng 10%

Để tìm cách thu hồi tài sản, Boris Povar - CEO CrossCurve, đã công bố danh sách 10 địa chỉ ví được cho là đã nhận token từ vụ hack, đồng thời gửi thông điệp trực tiếp tới những địa chỉ này. Ông cho biết CrossCurve sẵn sàng trả khoản tiền thưởng lên tới 10% nếu toàn bộ tài sản được hoàn trả trong vòng 72 giờ kể từ thời điểm xảy ra sự cố.

Theo Povar, nếu không có phản hồi hoặc tài sản không được trả lại trong thời hạn nói trên, CrossCurve sẽ coi đây là hành vi có chủ ý và tiến hành các biện pháp pháp lý, bao gồm phối hợp với cơ quan thực thi pháp luật, khởi kiện dân sự và làm việc với các dự án crypto khác nhằm đóng băng tài sản liên quan.

Đọc thêm: