Giao thức USPD bị tấn công, thiệt hại ước tính hơn 250 triệu USD

Diễn biến tấn công: Hacker chuẩn bị từ nhiều tuần trước

Theo thông báo từ tài khoản chính thức @USPD_io, cuộc tấn công không diễn ra đột ngột mà được chuẩn bị từ cuối tháng 9. Hacker đã triển khai một hợp đồng “ẩn” và không tạo ra hoạt động bất thường nào, khiến việc phát hiện rất khó khăn.

Khi hợp đồng bị kích hoạt, toàn bộ quá trình khai thác chỉ diễn ra trong vài phút:

Mint trái phép ~98 triệu USPD
Rút ~232 stETH là gần như toàn bộ thanh khoản quan trọng
Không để lại tín hiệu on-chain dễ nhận diện trước đó

Điều này khiến cộng đồng nghi ngờ khả năng exploit có liên quan đến proxy hoặc lỗi trong cơ chế mint/redeem của giao thức, dù phía dự án cho biết không phải lỗi smart contract.

Phản ứng từ đội ngũ USPD

Ngay sau khi sự cố được xác nhận, USPD đã đưa ra loạt biện pháp khẩn cấp:

1. Cảnh báo người dùng

Người dùng được yêu cầu:

Dừng mọi giao dịch mua USPD
Revoke toàn bộ approvals liên quan đến giao thức

Đây là động thái quen thuộc mỗi khi pool thanh khoản bị chiếm quyền kiểm soát hoặc có nguy cơ tồn tại backdoor.

2. Tạm dừng hoạt động mint/redeem

Điều này giúp hạn chế lan rộng thiệt hại và đóng băng các hành vi gian lận tiếp theo.

3. Đề nghị “white-hat settlement”

Theo thông lệ trong ngành DeFi, USPD đề xuất:

Hacker hoàn trả 90% số tiền
Giữ lại 10% như khoản bounty
Đổi lại dự án không truy cứu trách nhiệm pháp lý
Tuy vậy, cho đến thời điểm công bố bài viết, hacker chưa có phản hồi.

USPD mất peg, thanh khoản cạn kiệt

Hậu quả xảy ra gần như ngay lập tức:

Giá USPD lao dốc trên 95%, chỉ còn khoảng 0,04–0,06 USD
Hầu hết thanh khoản lớn đã bị hút cạn
Các pool phụ trên những DEX nhỏ cũng rơi vào tình trạng mất cân bằng nặng

Việc mất peg nhanh chóng cho thấy mức độ phụ thuộc của USPD vào thanh khoản stETH, vốn là trụ cột trong cơ chế ổn định giá của giao thức.

#PeckShieldAlert @USPD_io has reported an exploit resulting in a loss of ~$1M. Please revoke all token approvals to USDP contract.https://t.co/4mQqoE8EWO pic.twitter.com/IRo50xqhJL
— PeckShieldAlert (@PeckShieldAlert) December 5, 2025

Kết luận

Vụ tấn công vào USPD cho thấy rủi ro của DeFi vẫn luôn hiện hữu, ngay cả với những giao thức đã được audit và vận hành ổn định. Việc hacker chuẩn bị trong nhiều tuần và rút sạch thanh khoản chỉ trong vài phút nhấn mạnh mức độ tinh vi của các kỹ thuật khai thác mới. Trong khi chờ báo cáo post-mortem chính thức, người dùng nên ưu tiên kiểm tra ví, revoke quyền liên quan và tạm thời tránh mọi giao dịch với USPD để giảm thiểu rủi ro.

Đọc thêm: