Ngày 26/02/2026 – Dự án ví thông minh DeFAI Holdstation có trụ sở tại Việt Nam (xây dựng trên Worldcoin và BNB Chain) xác nhận đã trở thành nạn nhân của một vụ tấn công chuỗi cung ứng nghiêm trọng vào rạng sáng 25/02/2026. Tổng thiệt hại được ghi nhận là 462.000 USDT.
Đây là sự cố bảo mật thứ hai của dự án trong năm 2026, sau vụ thất thoát khoảng 100.000 USD hồi tháng 1.
Tấn công chuỗi cung ứng: Không đánh vào smart contract mà vào hạ tầng phân phối
Theo thông báo chính thức, hacker không xâm nhập trực tiếp vào ví người dùng hay hợp đồng thông minh. Phía Holdstation và đơn vị kiểm toán Verichains khẳng định các smart contract vẫn an toàn.
Thay vào đó, kẻ tấn công nhắm vào hạ tầng phân phối ứng dụng – nơi cung cấp các bản cập nhật cho người dùng.
Cụ thể, hacker đã:
Sau khi kiểm soát hạ tầng, attacker chỉnh sửa file JavaScript trong phiên bản ứng dụng chính thức, chèn mã độc dưới dạng backdoor. Người dùng khi cập nhật ứng dụng đã vô tình cài đặt phiên bản bị nhiễm mã độc.
Cơ chế rút tiền “im lặng”
Mã độc được thiết kế để hoạt động ngay sau khi cài đặt:
Hậu quả là nhiều ví bị rút tiền chỉ trong vài phút đầu tiên kể từ khi bản cập nhật độc hại được phát hành.
Phản ứng khẩn cấp trong vòng 30 phút của Holdstation
Theo dòng thời gian được công bố (UTC+7):
Sau đó, Holdstation phối hợp với Verichains để phân tích dữ liệu on-chain và thu thập bằng chứng phục vụ điều tra.
Tổng thiệt hại được xác nhận hiện tại là 462.000 USDT.
Cam kết hoàn trả 100% cho người dùng
Holdstation cam kết bồi thường 100% giá trị tài sản bị ảnh hưởng. Người dùng cần điền biểu mẫu chính thức tại:
https://forms.gle/9FriUzFWHx6ZPXCS7
Đội ngũ sẽ tiến hành xác minh on-chain và xác thực quyền sở hữu ví trước khi hoàn trả. Dự án nhấn mạnh không yêu cầu seed phrase, private key hay bất kỳ khoản phí nào trong quá trình bồi thường.
Bài học bảo mật cho ngành
Sự cố cho thấy ngay cả khi hợp đồng thông minh an toàn, lỗ hổng tại lớp hạ tầng phân phối phần mềm vẫn có thể gây tổn thất lớn. Đây là dạng tấn công chuỗi cung ứng – nơi hacker xâm nhập vào “đầu vào” của sản phẩm thay vì tấn công trực diện người dùng.
Holdstation cho biết đang nâng cấp toàn bộ quy trình phát hành, bao gồm:
Vụ việc đang thu hút sự quan tâm lớn từ cộng đồng crypto Việt Nam, khi Holdstation là một trong những dự án ví DeFi có trụ sở tại TP.HCM.
Dự án cam kết tiếp tục cập nhật tiến độ điều tra trong thời gian tới.
Vương Tiễn
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Cổ phiếu Circle giảm sau khi nộp đơn kiện vụ hack Drift Protocol liên quan $280M
Cổ phiếu của Circle Internet Group giảm 1% sau khi một vụ kiện tập thể cáo buộc công ty đã không ngăn chặn việc $230 triệu USDC bị đánh cắp trong sự cố khai thác (exploit) của Drift Protocol. Vụ kiện đặt vấn đề về khả năng của Circle trong việc chặn các giao dịch của kẻ tấn công, đồng thời nêu ra các vấn đề về trách nhiệm của nhà phát hành stablecoin trong các tình huống vi phạm.
GateNews5phút trước
Quỹ Ethereum Phát hiện 100 đặc vụ Triều Tiên xâm nhập vào các công ty Web3
Chương trình ETH Rangers của Quỹ Ethereum đã tiết lộ một mối đe dọa an ninh lớn từ các phần tử Triều Tiên xâm nhập vào các công ty Web3. Cuộc điều tra phát hiện khoảng 100 đặc vụ, gắn cờ 53 dự án và thu hồi hơn 5,8 triệu USD. Quỹ kêu gọi cải thiện quy trình tuyển dụng và hợp tác toàn cầu để tăng cường an ninh.
GateNews1giờ trước
Đợt Presale Memecoin của James Wynn Chỉ Huy Động Được $8,000 Giữa Các Cáo Buộc Lừa Đảo
James Wynn đã ra mắt đợt presale memecoin, $ASSDAQ, trên Solana, chỉ huy động được $8,000 trong mười giờ, đồng thời vấp phải nhiều chỉ trích liên quan đến các cáo buộc lừa đảo trong quá khứ. Mặc dù Wynn khẳng định có thành tích giao dịch thành công, sự e ngại của thị trường cho thấy thái độ hoài nghi đối với dự án mới của anh.
GateNews1giờ trước
CoW Swap Tạm Dừng Giao Thức Sau Khi Trang Web Bị Tấn Công - Coinspeaker
CoW Swap, bộ tổng hợp sàn giao dịch phi tập trung dựa trên Ethereum, đã tạm dừng giao thức của mình vào ngày 14 tháng 4 năm 2026, sau khi kẻ tấn công chiếm quyền kiểm soát tên miền trang web của công ty và chuyển hướng người dùng đến một trang web độc hại được thiết kế để thu hoạch các phê duyệt ví, với nhà nghiên cứu an ninh mạng Vladimir S. ước tính khoảng $500,000 tài sản kỹ thuật số bị rút cạn, và ít nhất một người dùng báo cáo rằng khoản lỗ cá nhân vượt quá $50,000.
Coinspeaker2giờ trước
Kế hoạch phòng thủ lượng tử của Bitcoin theo BIP-361 vấp chỉ trích vì khoảng trống khôi phục 1,7M BTC
Các nhà phát triển Bitcoin đang làm việc trên BIP-361 để bảo vệ trước các mối đe dọa từ điện toán lượng tử bằng cách chuyển quỹ sang các định dạng an toàn hơn, có khả năng đóng băng 1,7 triệu BTC. Charles Hoskinson chỉ trích kế hoạch này, cho rằng nó có thể dẫn đến việc đóng băng vĩnh viễn các đồng tiền dễ tổn thương. Cuộc tranh luận nêu bật những căng thẳng trong việc thích nghi với các giao thức của Bitcoin.
GateNews3giờ trước
Tether rót 150 triệu đô la để cứu Drift Protocol, còn Circle thì bị kiện tập thể vì sơ suất
Drift Protocol phải chịu khoản lỗ $280 triệu đô la do bị hack, khiến Tether khởi động kế hoạch phục hồi trị giá $150 triệu đô la, chuyển tài sản thanh toán sang USDT. Trong khi đó, Circle đang đối mặt với một vụ kiện vì không đóng băng kịp thời các khoản tiền bị đánh cắp, qua đó làm nổi bật sự mơ hồ về quy định trong ngành crypto.
ChainNewsAbmedia3giờ trước
