Vụ Hack zkLend: Hacker tự đào hố chôn mình hay màn kịch rửa tiền hoàn hảo?

Ngày 11/02/2025, cộng đồng tiền điện tử chứng kiến một vụ tấn công chấn động khi zkLend – giao thức cho vay trên mạng StarkNet – bị hacker “cuỗm” mất 3.666 ETH, tương đương 9,6 triệu USD. Nhưng câu chuyện không dừng lại ở đó. Chỉ hơn một tháng sau, kẻ thủ ác lại rơi vào tình huống trớ trêu: trong lúc cố gắng “tẩy trắng” số tiền, hắn bị một trang web lừa đảo cướp mất 2.930 ETH (5,4 triệu USD). Đây là “nghiệp quật” hay một chiêu trò được tính toán kỹ lưỡng? Hãy cùng Blog Meme phân tích sâu hơn về vụ việc đầy kịch tính này.

zkLend bị tấn công: Kế hoạch tinh vi được thực thi

Vụ hack zkLend diễn ra vào rạng sáng ngày 11/02/2025, khi hệ thống của giao thức này bất ngờ bị xâm nhập. Hacker đã sử dụng một chiến thuật không mới nhưng cực kỳ hiệu quả: gửi một khoản tiền nhỏ để “mồi” hệ thống, sau đó tận dụng flash loan – công cụ vay tức thời phổ biến trong DeFi – để làm sai lệch chỉ số tài chính của zkLend. Từ đây, hắn thực hiện hàng loạt giao dịch nạp và rút tiền, khai thác lỗi làm tròn số trong hợp đồng thông minh. Chỉ với vài thao tác, khoản chênh lệch nhỏ đã được “phù phép” thành lợi nhuận khổng lồ, giúp hacker rút sạch 9,6 triệu USD, chủ yếu là token wstETH từ pool thanh khoản lớn nhất của nền tảng.

Ngay khi phát hiện sự cố, zkLend lập tức tạm ngưng chức năng rút tiền và phát đi thông báo khẩn cấp trên các kênh chính thức. Đội ngũ dự án nhanh chóng đưa ra một lời đề nghị mang tính thỏa hiệp: nếu hacker trả lại 90% số tiền (khoảng 8,64 triệu USD), hắn có thể giữ 10% (960.000 USD) như phần thưởng “bounty” mà không phải đối mặt với bất kỳ hậu quả pháp lý nào. Hạn chót để chấp nhận lời đề nghị là 00:00 UTC ngày 14/02/2025. Nhưng thay vì hợp tác, hacker im lặng, khiến zkLend phải nâng cấp biện pháp đối phó. Đến ngày 19/02, dự án công bố treo thưởng 500.000 USD cho bất kỳ ai cung cấp thông tin giúp xác định danh tính kẻ tấn công và thu hồi tài sản bị đánh cắp.

Hành trình rửa tiền thất bại: Hacker trở thành nạn nhân?

Sau khi chuyển thành công số tiền từ StarkNet sang Ethereum, hacker bắt đầu kế hoạch làm mờ dấu vết. Ban đầu, hắn thử qua Railgun – một giao thức bảo mật giúp ẩn danh giao dịch. Nhưng Railgun từ chối xử lý, trả lại toàn bộ số tiền về ví ban đầu, buộc hacker phải tìm giải pháp khác. Lựa chọn tiếp theo của hắn là Tornado Cash – công cụ nổi tiếng trong việc “rửa” tiền điện tử. Tuy nhiên, thay vì truy cập trang chính thức, hacker lại bất cẩn (hay cố ý?) sa vào một trang web giả mạo tinh vi, dẫn đến việc mất trắng 2.930 ETH (5,4 triệu USD) vào ngày 31/03/2025.

Trong một tin nhắn gửi qua Etherscan đến zkLend, hacker bày tỏ sự tuyệt vọng:

“Tôi đã cố di chuyển số tiền qua Tornado Cash, nhưng lại nhầm với một trang web lừa đảo. Toàn bộ số tiền đã mất. Tôi thật sự suy sụp. Tôi vô cùng xin lỗi vì tất cả những tổn thất và hậu quả đã gây ra.”

Lời thú nhận này nhanh chóng lan truyền, trở thành chủ đề bàn tán sôi nổi trong cộng đồng tiền điện tử.

Nhưng zkLend chẳng mảy may động lòng. Dự án lạnh lùng yêu cầu: “Trả lại ngay số tiền còn sót trong ví của ngươi.”

Đáp lại, hacker lẳng lặng chuyển 25 ETH sang ví Chainflip1, như thể muốn khiêu khích thêm một lần nữa.

Lật tẩy sự thật: Lừa đảo hay vở kịch tài tình?

Thoạt nhìn, câu chuyện có vẻ là một bài học cay đắng về sự bất cẩn: kẻ xấu tự chuốc họa vì thiếu cảnh giác trong chính “nghề” của mình. Nhưng khi phân tích dữ liệu on-chain, một góc khuất khác bắt đầu lộ diện. Trang web giả mạo Tornado Cash có những điểm bất thường đáng ngờ: mã nguồn của nó cố định địa chỉ ENS safe-relayer.eth thay vì hoạt động linh hoạt như các relayer chính thống. Điều này khác xa cách vận hành tiêu chuẩn của Tornado Cash, vốn yêu cầu relayer lấy dữ liệu từ hợp đồng Relayer Registry

(Địa chỉ: 0x58e8dcc13be9780fc42e8723d8ead4cf46943df2).

Hơn nữa, trang web giả mạo này không phải là “tân binh”. Nó đã tồn tại từ năm 2024 và từng bị cộng đồng Tornado Cash đánh dấu đỏ trên Telegram, chứng tỏ đây là một công cụ đã được sử dụng từ lâu. Đáng chú ý hơn, ngay sau khi vụ “mất tiền” xảy ra, safe-relayer.eth bị xóa khỏi mã nguồn trang web, nhưng 2.930 ETH vẫn được rút qua chính địa chỉ này. Nếu đây thực sự là một vụ lừa đảo ngẫu nhiên, tại sao kẻ đứng sau lại có mối liên hệ trực tiếp với hacker?

Nhiều chuyên gia đặt ra giả thuyết: đây có thể là một vở kịch do chính hacker dàn dựng. Bằng cách giả vờ mất tiền vào tay “kẻ khác”, hắn tạo ra một màn khói để đánh lạc hướng cộng đồng và các đơn vị truy vết, khiến mọi người tin rằng số tài sản đã rơi vào tay một bên thứ ba không thể lần ra. Nếu kịch bản này đúng, hacker không chỉ là một kẻ tấn công tài ba mà còn là một “diễn viên” xuất sắc.

DeFi trong cơn bão Hacker: Bối cảnh lớn hơn

Vụ zkLend không phải là trường hợp cá biệt trong không gian DeFi. Theo thống kê từ công ty bảo mật blockchain CertiK, chỉ riêng tháng 2/2025, các vụ hack và lừa đảo tiền điện tử đã gây thiệt hại 1,53 tỷ USD. Nổi bật nhất là vụ tấn công sàn Bybit vào ngày 21/02, mất 1,4 tỷ USD bởi nhóm hacker Lazarus từ Triều Tiên – vụ hack lớn nhất lịch sử crypto, vượt xa kỷ lục trước đó của Ronin Bridge (650 triệu USD) vào tháng 03/2022. Những con số này cho thấy DeFi vẫn là “miền đất hứa” cho các hacker, nơi lỗ hổng bảo mật và sự thiếu hiểu biết của người dùng tạo ra cơ hội vàng cho những vụ tấn công quy mô lớn.

Riêng với zkLend, vụ hack đã để lại hậu quả nặng nề. Tổng giá trị khóa (TVL) của nền tảng lao dốc từ 11,57 triệu USD xuống còn 1,17 triệu USD, theo số liệu từ DefiLlama. Dù vậy, giá token ZEND chỉ giảm 13,5% xuống mức 0,036 USD – một mức sụt giảm tương đối nhẹ so với tầm vóc của sự cố. Điều này phần nào phản ánh niềm tin của cộng đồng vào khả năng phục hồi của dự án, cũng như sự minh bạch trong cách zkLend xử lý khủng hoảng.

Bài học từ hành trình zkLend

Dù là kết quả của sự bất cẩn hay một nước cờ xảo quyệt, vụ việc zkLend mang đến nhiều bài học quý giá cho cả người dùng và các dự án trong không gian tiền điện tử. Với người dùng, đây là lời cảnh tỉnh về tầm quan trọng của việc kiểm tra kỹ lưỡng mọi địa chỉ, liên kết trước khi thực hiện giao dịch – đặc biệt trong môi trường đầy rủi ro như DeFi. Một sai lầm nhỏ, như nhầm lẫn giữa trang chính thức và trang giả mạo, có thể khiến bạn mất trắng tài sản trong tích tắc.

Với các dự án như zkLend, vụ việc nhấn mạnh tầm quan trọng của việc xây dựng hệ thống bảo mật vững chắc ngay từ đầu. Hacker không chỉ tấn công vì lợi nhuận, mà còn vì danh tiếng và sự thách thức. Một nền tảng không được bảo vệ tốt sẽ dễ dàng trở thành “con mồi” trong mắt những kẻ có kỹ năng cao như kẻ đã tấn công zkLend.

Kết luận

Hacker zkLend hiện tại có thể đang tiếc nuối vì mất 5,4 triệu USD vào tay một trang web lừa đảo, hoặc đang âm thầm cười nhạo cộng đồng với kế hoạch “rửa tiền” hoàn hảo của mình. Dù sự thật nằm ở đâu – “nghiệp quật” hay màn kịch tài tình – câu chuyện này vẫn là minh chứng sống động cho sự hỗn loạn và bất ngờ trong thế giới tiền điện tử. Trong không gian này, không ai thực sự an toàn, kể cả những kẻ từng nghĩ mình nắm mọi thứ trong tay.

Bạn nghĩ sao về vụ việc zkLend? Đây là cái kết xứng đáng cho một hacker bất cẩn, hay một chiến lược thông minh để thoát tội?