Layer-2 Kinto sụp đổ sau vụ hack 1,55 triệu USD

Kinto chính thức tuyên bố đóng cửa

Dự án Ethereum Layer-2 Kinto, từng được chú ý bởi mô hình KYC toàn diện dành cho trader và tổ chức tài chính, đã chính thức thông báo sẽ đóng cửa vào ngày 30/09/2025.

1/ 🛑 Kinto is shutting down.

After exhausting every path to keep going, we’re conducting orderly wind-down to protect users and community.

- Users can normally withdraw assets
- Phoenix lenders receive ~76%
- Morpho Victims can claim up to $1.1k each

Read full details 🧵
— Kinto (@KintoXYZ) September 7, 2025

Quyết định này đến chỉ hai tháng sau vụ hack nghiêm trọng hồi tháng 7, khiến Kinto thiệt hại 1,55 triệu USD và đánh mất niềm tin từ cộng đồng. Bất chấp nỗ lực hồi sinh thông qua kế hoạch Phoenix và cả sự hỗ trợ tài chính cá nhân từ founder, dự án vẫn không thể trụ vững trước cú sốc quá lớn.

Lỗ hổng chí mạng trong ERC-1967 Proxy

Ngày 10/07/2025, Kinto hứng chịu một cuộc tấn công smart contract tinh vi. Hacker đã khai thác lỗ hổng trong ERC-1967 Proxy – một module phổ biến từ OpenZeppelin cho phép nâng cấp smart contract.

Qua đó, kẻ tấn công tạo ra 110.000 token KINTO giả rồi nhanh chóng bán tháo, rút sạch 577 ETH (tương đương 1,55 triệu USD) từ Morpho lending vault và Uniswap v4 pool.

Điều trớ trêu là lỗ hổng ERC-1967 này vốn đã được cộng đồng bảo mật cảnh báo trước đó, nhưng Kinto không kịp phản ứng chỉ vài giờ sau khi thông tin được công bố.

Token K mất 94%, vốn hóa lao dốc

Sau vụ tấn công, giá token K của Kinto rơi tự do, mất đến 94% giá trị. Vốn hóa dự án, từ mức hàng chục triệu USD, nay chỉ còn khoảng 653.000 USD sau thông báo đóng cửa.

Kế hoạch Phoenix được đưa ra nhằm khắc phục hậu quả: huy động thêm 1 triệu USD, phát hành token KINTO mới để phản ánh số dư trước vụ hack và bổ sung thanh khoản. Ngoài ra, khoảng 800.000 USD còn lại trong Uniswap pool cũng được sử dụng để hỗ trợ người dùng.

Tuy nhiên, khoản nợ chồng chất từ các gói phục hồi đã khiến khả năng gọi vốn mới trở nên gần như bất khả thi.

Lời hứa hẹn lợi nhuận cao – con dao hai lưỡi

Một trong những điểm khiến Kinto từng được chú ý là lời hứa hẹn mức lợi nhuận (APY) cực cao, có lúc lên tới 130% đối với USDC. Chính điều này đã biến Kinto thành một “case study” điển hình về các dự án DeFi tăng trưởng nóng, thu hút dòng vốn ngắn hạn nhưng thiếu nền tảng bền vững.

Sự cố hack đã phơi bày những lỗ hổng lớn, biến lời hứa lợi nhuận cao trở thành “con dao hai lưỡi” khiến dự án sụp đổ nhanh chóng.

Founder nỗ lực cứu vãn nhưng bất thành

Trong thông báo chính thức, Ramón Recuero, founder của Kinto và cũng là người sáng lập Babylon Finance (một dự án từng mất 3,4 triệu USD trong vụ hack Rari Protocol buộc phải đóng cửa), cho biết Kinto sẽ không biến mất trong im lặng như nhiều dự án khác.

Ông khẳng định:

Toàn bộ tài sản còn lại của foundation sẽ được hoàn trả cho Phoenix lender, giúp họ thu hồi khoảng 76% vốn gốc.
Recuero cam kết bỏ thêm hơn 130.000 USD tiền cá nhân (cao hơn nhiều so với mức 55.000 USD cam kết ban đầu) để bồi thường cho người dùng bị thiệt hại trên Morpho, tối đa 1.100 USD cho mỗi địa chỉ.
Kinto sẽ triển khai cơ chế Contingent Value Right (CVR), tức là nếu hacker bị thu hồi tài sản, nạn nhân sẽ được hoàn trả 100%, và phần dư (nếu có) sẽ phân bổ thêm cho cộng đồng qua snapshot DAO.

Dù nỗ lực, Recuero thừa nhận: “Chúng tôi đã làm việc không lương từ tháng 7. Khi nỗ lực huy động vốn cuối cùng thất bại, lựa chọn duy nhất còn lại là đóng cửa có trật tự và bảo vệ người dùng tối đa. Rất nhiều team chọn biến mất, nhưng chúng tôi thì không.”

Kết luận: Một bài học đắt giá cho DeFi

Vụ sụp đổ của Kinto nhấn mạnh rủi ro tiềm tàng trong các dự án blockchain, đặc biệt khi chạy theo APY cao nhưng thiếu nền tảng an toàn. Từ một dự án Layer-2 được kỳ vọng, Kinto giờ trở thành minh chứng rõ nét về sự mong manh của hệ sinh thái DeFi non trẻ trước các cuộc tấn công bảo mật.

Sự việc cũng gióng lên hồi chuông cảnh tỉnh cho các nhà đầu tư: lợi nhuận cao thường đi kèm rủi ro lớn, và bảo mật luôn phải là ưu tiên hàng đầu của mọi dự án crypto.

Đọc thêm