Ngày 26/02/2026 – Dự án ví thông minh DeFAI Holdstation có trụ sở tại Việt Nam (xây dựng trên Worldcoin và BNB Chain) xác nhận đã trở thành nạn nhân của một vụ tấn công chuỗi cung ứng nghiêm trọng vào rạng sáng 25/02/2026. Tổng thiệt hại được ghi nhận là 462.000 USDT.
Đây là sự cố bảo mật thứ hai của dự án trong năm 2026, sau vụ thất thoát khoảng 100.000 USD hồi tháng 1.
Tấn công chuỗi cung ứng: Không đánh vào smart contract mà vào hạ tầng phân phối
Theo thông báo chính thức, hacker không xâm nhập trực tiếp vào ví người dùng hay hợp đồng thông minh. Phía Holdstation và đơn vị kiểm toán Verichains khẳng định các smart contract vẫn an toàn.
Thay vào đó, kẻ tấn công nhắm vào hạ tầng phân phối ứng dụng – nơi cung cấp các bản cập nhật cho người dùng.
Cụ thể, hacker đã:
Sau khi kiểm soát hạ tầng, attacker chỉnh sửa file JavaScript trong phiên bản ứng dụng chính thức, chèn mã độc dưới dạng backdoor. Người dùng khi cập nhật ứng dụng đã vô tình cài đặt phiên bản bị nhiễm mã độc.
Cơ chế rút tiền “im lặng”
Mã độc được thiết kế để hoạt động ngay sau khi cài đặt:
Hậu quả là nhiều ví bị rút tiền chỉ trong vài phút đầu tiên kể từ khi bản cập nhật độc hại được phát hành.
Phản ứng khẩn cấp trong vòng 30 phút của Holdstation
Theo dòng thời gian được công bố (UTC+7):
Sau đó, Holdstation phối hợp với Verichains để phân tích dữ liệu on-chain và thu thập bằng chứng phục vụ điều tra.
Tổng thiệt hại được xác nhận hiện tại là 462.000 USDT.
Cam kết hoàn trả 100% cho người dùng
Holdstation cam kết bồi thường 100% giá trị tài sản bị ảnh hưởng. Người dùng cần điền biểu mẫu chính thức tại:
https://forms.gle/9FriUzFWHx6ZPXCS7
Đội ngũ sẽ tiến hành xác minh on-chain và xác thực quyền sở hữu ví trước khi hoàn trả. Dự án nhấn mạnh không yêu cầu seed phrase, private key hay bất kỳ khoản phí nào trong quá trình bồi thường.
Bài học bảo mật cho ngành
Sự cố cho thấy ngay cả khi hợp đồng thông minh an toàn, lỗ hổng tại lớp hạ tầng phân phối phần mềm vẫn có thể gây tổn thất lớn. Đây là dạng tấn công chuỗi cung ứng – nơi hacker xâm nhập vào “đầu vào” của sản phẩm thay vì tấn công trực diện người dùng.
Holdstation cho biết đang nâng cấp toàn bộ quy trình phát hành, bao gồm:
Vụ việc đang thu hút sự quan tâm lớn từ cộng đồng crypto Việt Nam, khi Holdstation là một trong những dự án ví DeFi có trụ sở tại TP.HCM.
Dự án cam kết tiếp tục cập nhật tiến độ điều tra trong thời gian tới.
Vương Tiễn
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Những hacker của Sillytuna chuyển hơn $10M trong số tiền mã hóa bị đánh cắp
Các hacker Sillytuna đã rửa hơn $10M trong số tiền bị đánh cắp, chủ yếu sử dụng Bitcoin và DAI, thông qua các sàn giao dịch và mixer để che giấu nguồn gốc. Mặc dù đã có các hoạt động này, họ vẫn giữ $19M trong số tài sản bị đánh cắp.
BlockChainReporter5giờ trước
Shiba Inu: Cảnh báo được phát đi khi tài khoản mạng xã hội của người tham gia SHIB bị hack - U.Today
Ragnarshib cảnh báo cộng đồng Shiba Inu về một tài khoản bị hack của Vet Kusama, hiện đang bị các kẻ lừa đảo sử dụng để gửi tin nhắn lừa đảo. Người dùng được khuyên không tương tác với tài khoản hoặc các liên kết của nó cho đến khi được khôi phục.
UToday7giờ trước
IoTeX phát hành báo cáo về sự cố an ninh của ioTube: thiệt hại thực tế khoảng 4,4 triệu USD, cam kết bồi thường đầy đủ cho các người dùng bị ảnh hưởng
IoTeX phát hành báo cáo cho biết, vụ việc cầu nối liên chuỗi ioTube ngày 6 tháng 3 đã gây thiệt hại khoảng 4,4 triệu USD. 99,5% tài sản bị đánh cắp đã được phong tỏa, nhóm cam kết bồi thường 100% cho người dùng bị ảnh hưởng. Mạng chính đã khôi phục hoạt động, đồng thời đã đưa địa chỉ của kẻ tấn công vào danh sách đen, cùng với việc thúc đẩy quản trị phi tập trung và kiểm toán an ninh.
GateNews10giờ trước
Tập đoàn Thái Tử rửa tiền tại Đài Loan 107 tỷ! Tự phát triển "OJBK Ví" kết nối với các dịch vụ đổi tiền ngầm
Văn phòng Công tố quận Taipei điều tra vụ rửa tiền của "Tử Tử Nhóm" tại Campuchia, truy tố 62 người và 13 công ty, liên quan đến số tiền rửa tiền 10.7 tỷ đô la, và tịch thu tài sản trị giá 5.5 tỷ đô la. Nhóm này sử dụng USDT và ví "OJBK" do tự phát triển để thực hiện rửa tiền xuyên quốc gia, che giấu thu nhập phạm pháp, và rút tiền mặt tại nhiều quốc gia.
区块客12giờ trước
HypurrFi tiết lộ rằng các phiên bản sớm của Aave V3 có lỗ hổng về lỗi làm tròn, đã tạm ngưng thêm vay mượn trên thị trường XAUT0 và UBTC
HyperEVM đã tiết lộ rằng giao thức cho vay không quản lý HypurrFi trước phiên bản Aave V3 có lỗ hổng "lỗi làm tròn", cho phép kẻ tấn công rút tiền từ token cơ sở. HypurrFi đảm bảo an toàn cho quỹ của người dùng, đã tạm dừng hoạt động cung cấp và vay mượn của các thị trường bị ảnh hưởng, và hợp tác với các bên liên quan để xử lý các vấn đề an ninh.
GateNews13giờ trước
AI đại lý phá vỡ bảo vệ của Cloudflare, an ninh giao diện DeFi mã hóa lại phải đối mặt với thử thách
Gần đây, AI đại lý tự chủ OpenClaw sử dụng thư viện Scrapling để thành công vượt qua hàng phòng thủ của Cloudflare, gây chú ý về an ninh DeFi. Mặc dù công cụ này có thể hợp pháp trong việc thu thập nội dung, nhưng rủi ro tiềm ẩn nhắc nhở các nhà phát triển nên xây dựng nhiều lớp phòng thủ, tránh phụ thuộc quá mức vào các biện pháp bảo vệ truyền thống.
GateNews13giờ trước
