Nền tảng Echo Protocol trên Monad bị exploit 76 triệu USD

Tóm tắt nhanh

Hacker mint trái phép 1.000 eBTC (~76,7M USD) bằng cách chiếm admin private key, không phải lỗ hổng smart contract.
Gần 821K USD đã được rửa qua Tornado Cash và gần 73M USD còn lại chưa di chuyển.
Monad network không bị ảnh hưởng và được xác nhận bởi co-founder Keone Hon.

Diễn biến quá trình mint trái phép đến Tornado Cash

Hacker tiếp cận được admin private key của hợp đồng eBTC trên Monad, sau đó thực hiện chuỗi giao dịch theo trình tự rõ ràng.

Bước đầu tiên: mint 1.000 eBTC tương đương khoảng 76,7 triệu USD theo giá thị trường tại thời điểm xảy ra sự cố. Toàn bộ lượng token này được tạo ra không có backing tài sản thực, đẩy tổng cung eBTC lên đột biến mà không có giá trị thực chống đỡ.

Tiếp theo, 45 eBTC (~3,45 triệu USD) được deposit vào Curvance làm collateral để vay ~11,29 WBTC (~867K USD). Lượng WBTC này được bridge sang Ethereum, swap sang ETH, rồi ~385 ETH (~821K USD) được gửi vào Tornado Cash để xóa dấu vết on-chain.

Tính đến khoảng 4h sáng ngày 19/05/2026, hacker vẫn còn nắm giữ ~955 eBTC xấp xỉ 73 triệu USD chưa di chuyển.

Nguyên nhân do hệ thống quản trị yếu

Điểm quan trọng cần làm rõ ngay là đây không phải lỗ hổng trong code smart contract của Echo Protocol, cũng không phải vấn đề của mạng Monad.

Keone Hon, đồng sáng lập Monad, đã xác nhận công khai: "Monad network không bị ảnh hưởng, vẫn hoạt động bình thường. Khoảng 816K USD bị đánh cắp từ exploit của Echo Protocol." Mạng blockchain vẫn xử lý giao dịch và đạt finality bình thường trong suốt sự cố.

Nguyên nhân gốc rễ: admin private key của hợp đồng eBTC bị lộ. Hợp đồng này sử dụng single EOA (Externally Owned Account) làm admin nghĩa là chỉ cần một private key duy nhất bị compromise, toàn bộ quyền kiểm soát mint/burn rơi vào tay attacker. Không có multisig, không có timelock, không có cơ chế on-chain nào ngăn được giao dịch mint tức thì

Đây là dạng key management failure đã được cảnh báo trong ngành từ nhiều năm, nhưng vẫn xuất hiện trong các protocol mới triển khai đặc biệt ở giai đoạn mainnet đầu tiên khi áp lực ra mắt cao.

Phản ứng từ các bên liên quan

Echo Protocol phát đi thông báo chính thức xác nhận đang điều tra sự cố bảo mật liên quan đến Echo cross-chain bridge trên Monad. Trong thời gian điều tra, toàn bộ giao dịch cross-chain bị tạm dừng (suspended). Protocol chưa công bố kế hoạch bồi thường hay lộ trình phục hồi tính đến thời điểm bài viết.

Curvance phản ứng nhanh hơn: ngay sau khi phát hiện collateral eBTC đến từ địa chỉ nghi ngờ, toàn bộ thị trường eBTC bị halt để ngăn bad debt lan rộng sang các pool thanh khoản khác. Đây là biện pháp bảo vệ người dùng hợp lý trong tình huống collateral mất backing thực.

Cộng đồng on-chain đang theo dõi sát ví hacker công cụ tracking cho thấy ~955 eBTC chưa di chuyển sau đợt rửa tiền đầu tiên.

Rủi ro còn lại và điểm cần theo dõi

Vấn đề chưa được giải quyết là ~955 eBTC (~73 triệu USD) vẫn trong tay hacker.

Nếu lượng này được dump ra thị trường, tác động sẽ chia làm hai hướng: một là dilution nghiêm trọng với các holder eBTC hiện tại khi nguồn cung tăng đột biến không có backing; hai là nguy cơ bad debt cho Curvance dù thị trường eBTC đã halt, vì 45 eBTC đang dùng làm collateral có thể không đủ bù cho khoản vay WBTC nếu giá trị eBTC sụp đổ.

Ba điểm cần theo dõi tiếp:

Thứ nhất, Echo Protocol có công bố post-mortem chi tiết không, đặc biệt về cơ chế quản lý key và lộ trình chuyển sang multisig. Đây là thước đo độ tin cậy của team sau sự cố.
Thứ hai, hacker có tiếp tục di chuyển 955 eBTC còn lại không và nếu có, qua con đường nào. Việc dùng thêm Tornado Cash sẽ thu hút sự chú ý của cơ quan quản lý
Thứ ba, phản ứng của hệ sinh thái Monad với vụ exploit đầu tiên có quy mô lớn trên mainnet. Đây là bài test thực tế cho cơ chế ứng phó khủng hoảng của cả mạng lẫn các protocol build trên đó.

Bối cảnh rộng hơn

Vụ exploit này xảy ra trong chuỗi 3 vụ tấn công DeFi chỉ trong vòng 4 ngày (theo một số báo cáo tổng hợp), phản ánh làn sóng tấn công nhắm vào các protocol mới triển khai mainnet khi code chưa đủ thời gian battle-tested và đội ngũ vận hành còn đang trong giai đoạn thiết lập hạ tầng bảo mật.

Với Monad, đây là vụ exploit có quy mô nổi bật đầu tiên trên mainnet. Bản thân mạng không bị ảnh hưởng, nhưng sự cố tại lớp protocol sẽ ảnh hưởng đến niềm tin của developer khi quyết định triển khai dự án mới lên hệ sinh thái này.

Đọc thêm: