Ngày 26/02/2026 – Dự án ví thông minh DeFAI Holdstation có trụ sở tại Việt Nam (xây dựng trên Worldcoin và BNB Chain) xác nhận đã trở thành nạn nhân của một vụ tấn công chuỗi cung ứng nghiêm trọng vào rạng sáng 25/02/2026. Tổng thiệt hại được ghi nhận là 462.000 USDT.
Đây là sự cố bảo mật thứ hai của dự án trong năm 2026, sau vụ thất thoát khoảng 100.000 USD hồi tháng 1.
Tấn công chuỗi cung ứng: Không đánh vào smart contract mà vào hạ tầng phân phối
Theo thông báo chính thức, hacker không xâm nhập trực tiếp vào ví người dùng hay hợp đồng thông minh. Phía Holdstation và đơn vị kiểm toán Verichains khẳng định các smart contract vẫn an toàn.
Thay vào đó, kẻ tấn công nhắm vào hạ tầng phân phối ứng dụng – nơi cung cấp các bản cập nhật cho người dùng.
Cụ thể, hacker đã:
Sau khi kiểm soát hạ tầng, attacker chỉnh sửa file JavaScript trong phiên bản ứng dụng chính thức, chèn mã độc dưới dạng backdoor. Người dùng khi cập nhật ứng dụng đã vô tình cài đặt phiên bản bị nhiễm mã độc.
Cơ chế rút tiền “im lặng”
Mã độc được thiết kế để hoạt động ngay sau khi cài đặt:
Hậu quả là nhiều ví bị rút tiền chỉ trong vài phút đầu tiên kể từ khi bản cập nhật độc hại được phát hành.
Phản ứng khẩn cấp trong vòng 30 phút của Holdstation
Theo dòng thời gian được công bố (UTC+7):
Sau đó, Holdstation phối hợp với Verichains để phân tích dữ liệu on-chain và thu thập bằng chứng phục vụ điều tra.
Tổng thiệt hại được xác nhận hiện tại là 462.000 USDT.
Cam kết hoàn trả 100% cho người dùng
Holdstation cam kết bồi thường 100% giá trị tài sản bị ảnh hưởng. Người dùng cần điền biểu mẫu chính thức tại:
https://forms.gle/9FriUzFWHx6ZPXCS7
Đội ngũ sẽ tiến hành xác minh on-chain và xác thực quyền sở hữu ví trước khi hoàn trả. Dự án nhấn mạnh không yêu cầu seed phrase, private key hay bất kỳ khoản phí nào trong quá trình bồi thường.
Bài học bảo mật cho ngành
Sự cố cho thấy ngay cả khi hợp đồng thông minh an toàn, lỗ hổng tại lớp hạ tầng phân phối phần mềm vẫn có thể gây tổn thất lớn. Đây là dạng tấn công chuỗi cung ứng – nơi hacker xâm nhập vào “đầu vào” của sản phẩm thay vì tấn công trực diện người dùng.
Holdstation cho biết đang nâng cấp toàn bộ quy trình phát hành, bao gồm:
Vụ việc đang thu hút sự quan tâm lớn từ cộng đồng crypto Việt Nam, khi Holdstation là một trong những dự án ví DeFi có trụ sở tại TP.HCM.
Dự án cam kết tiếp tục cập nhật tiến độ điều tra trong thời gian tới.
Vương Tiễn
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Ledger Donjon Phát Hiện Lỗ Hổng MediaTek Để Lộ Seed Android Wallet
_Ledger Donjon phát hiện lỗ hổng bảo mật MediaTek cho phép trích xuất cụm từ khôi phục ví Android trong chưa đầy 45 giây, ảnh hưởng đến hàng triệu thiết bị. CVE-2025-20435._
Ledger Donjon đã phát hiện ra một lỗ hổng bảo mật nghiêm trọng của MediaTek. Nó cho phép những kẻ tấn công lấy được cụm từ khôi phục ví từ điện thoại Android trong vài giây.
LiveBTCNews43phút trước
Địa chỉ được cho là của hacker chủ đạo sự kiện thanh lý CAKE và THE, Venus tạo ra khoản lỗ 2,15 triệu đô la
Ngày 15 tháng 3, một địa chỉ nghi là hacker nhận 7400 ETH từ Tornado, điều khiển sự kiện thanh lý抵押của CAKE và THE, khiến Venus phát sinh khoảng 2,15 triệu USD lỗ hổng. Địa chỉ này thông qua các hoạt động phức tạp để kéo giá THE tăng lên, cuối cùng tài sản thế chấp của nó trên Venus bị thanh lý, nhưng vẫn còn nhiều khoản vay chưa được thanh toán. Phân tích cho rằng sự kiện này có thể là chiến lược của nó để làm lợi nhuận trên một CEX nhất định.
GateNews3giờ trước
Venus Protocol tạm dừng hoạt động vay và rút THE token, các thị trường khác hoạt động bình thường
Gate News đưa tin, ngày 15 tháng 3, Venus Protocol đã phát hành thông báo an ninh cho biết, trong quá trình điều tra các hoạt động bất thường trong hồ sơ THE, để ngăn chặn việc bị lợi dụng thêm, đã thực hiện các biện pháp phòng ngừa, tạm thời ngưng tất cả các hoạt động vay và rút token THE. Biện pháp này sẽ tiếp tục có hiệu lực cho đến khi kết thúc điều tra. Venus Protocol cho biết, các thị trường khác không bị ảnh hưởng và vẫn hoạt động bình thường.
GateNews3giờ trước
Venus Protocol bị nghi ngờ bị tấn công bằng flashloan, THE xảy ra thanh lý quy mô lớn
Giao thức cho vay trên BNB Chain Venus Protocol bị nghi ngờ là đã bị tấn công bằng flash loan, dẫn đến việc thanh lý quy mô lớn token THE. Kẻ tấn công đã thu được khoảng 3,6 triệu đô la tài sản, và việc thanh lý vẫn đang diễn ra, hiện còn khoảng 42 triệu THE đang chờ thanh lý.
GateNews5giờ trước
Chương trình tối 315 của CCTV tiết lộ chuỗi ngành công nghiệp đầu độc dữ liệu mô hình AI lớn, trả phí có thể điều khiển nội dung phản hồi của AI
Chương trình 315 của CCTV tiết lộ chuỗi công nghiệp "đầu độc" dữ liệu mô hình AI lớn, liên quan đến dịch vụ có tên là GEO, trong đó các nhà cung cấp dịch vụ thu phí để làm cho sản phẩm của khách hàng nổi bật trong mô hình AI, thúc đẩy sự phát triển của các công ty phát hành tin, trở thành khâu quan trọng trong việc thao tác dữ liệu.
GateNews5giờ trước
Tether đã đóng băng khoảng 11,96 triệu USDT trên địa chỉ Tron
Ngày 15 tháng 3, Tether đã đóng băng 11,960,680 USDT trên một địa chỉ chuỗi Tron, sử dụng chức năng danh sách đen của hợp đồng thông minh để thực hiện thao tác. Hành động này thường xuất phát từ các yêu cầu thực thi pháp luật liên quan đến rửa tiền và gian lận. Trong những năm qua, Tether đã tích lũy đóng băng hơn 4,200,000,000 đô la USDT.
GateNews6giờ trước
