# Bài viết Liên quan Lỗ hổng

Trung tâm Tin tức HTX cung cấp những bài viết mới nhất và phân tích chuyên sâu về "Lỗ hổng", bao gồm xu hướng thị trường, cập nhật dự án, phát triển công nghệ và chính sách quản lý trong ngành tiền kỹ thuật số.

Trung Quốc xếp nhất, đuổi sát OpenAI, 'Tăng nhân quét đất' bí ẩn vọt lên top 7 toàn cầu

Một mô hình AI bí ẩn của Trung Quốc có tên MopMonk (tạm dịch: "Hòa thượng quét sân") đã đột ngột xuất hiện và xếp hạng 7 trên bảng xếp hạng toàn cầu CyberGym về đánh giá khả năng bảo mật của AI, với tỷ lệ thành công 73,1%, xếp ngay sau OpenAI và đạt điểm số cao nhất từ trước đến nay của một đội Trung Quốc. CyberGym, được phát triển bởi UC Berkeley, là tiêu chuẩn đánh giá uy tín với 1507 lỗ hổng thực tế, yêu cầu mô hình không chỉ nhận diện mà còn phải tạo được bằng chứng khai thác (PoC) để tái tạo lỗ hổng trong môi trường thực thi khép kín. Điều này biến nó thành "thánh địa" thử thách năng lực hành động thực tế (Agent) của các AI. MopMonk gây chú ý vì sự ẩn danh hoàn toàn, không có trang web hay thông tin nhóm phát triển. Manh mối chính cho thấy nó sử dụng mô hình nền tảng mã nguồn mở MiniMax M3 từ Thượng Hải - một mô hình mạnh về lập trình, ngữ cảnh dài và đa phương thức. Bí quyết thành công của MopMonk được cho là nằm ở bộ khung (Harness) Agent đa tác tử được thiết kế riêng cho khai thác lỗ hổng. Nó tập trung vào ba yếu tố chính: 1) Bộ nhớ cấu trúc hóa để lưu trữ thông tin lỗ hổng, ràng buộc và bằng chứng thất bại; 2) Quá trình khai thác dựa trên bộ nhớ này, giúp thu hẹp tìm kiếm và tránh thử sai lặp lại; 3) Nhiều Agent khám phá song song, chia sẻ bộ nhớ chung để tăng hiệu quả. Thành tích này cho thấy xu hướng cạnh tranh AI đang chuyển từ quy mô tham số sang hiệu quả thực thi của Agent. Giá trị lâu dài có thể nằm ở bộ khung Harness tinh vi - thứ có thể được tái sử dụng và cải tiến qua nhiều thế hệ mô hình nền tảng. Dù danh tính đội phát triển MopMonk vẫn là ẩn số, nhưng họ đã chứng minh một hướng đi hiệu quả: kết hợp mô hình nền tảng mạnh với kỹ thuật điều phối Agent chuyên sâu để giải quyết các nhiệm vụ phức tạp trong thế giới thực.

marsbit06/30 08:11

Trung Quốc xếp nhất, đuổi sát OpenAI, 'Tăng nhân quét đất' bí ẩn vọt lên top 7 toàn cầu

marsbit06/30 08:11

Ví Cardano Bị Khai Thác Bởi SecondFi Khi Lỗi Khóa Riêng Tư Gây Ra Cảnh Báo An Ninh

SecondFi, công ty trước đây liên kết với ví Yoroi, đã tạm ngừng dịch vụ sau khi một lỗ hổng nghiêm trọng trong phần mềm tạo ví dựa trên web độc quyền của họ được báo cáo là đã làm lộ khóa riêng tư và dẫn đến vụ trộm cắp ADA lớn. Sự cố này đã kích hoạt các cảnh báo khẩn cấp cho người dùng bị ảnh hưởng, với ước tính ban đầu khoảng 16 triệu ADA (khoảng 2,4 triệu USD) bị đánh cắp từ 374 ví. Công ty an ninh SlowMist cảnh báo thiệt hại tổng thể có thể vượt quá 129 triệu ADA (hơn 20 triệu USD). Điểm quan trọng là lỗ hổng này chỉ nằm ở phần mềm tạo ví của SecondFi, giao thức blockchain Cardano bản thân nó không bị xâm phạm. Người dùng bị ảnh hưởng được cảnh báo không khôi phục cụm từ khôi phục (seed phrase) đã bị tổn thương vào các ví khác, vì điều này có thể chỉ đơn giản chuyển các thông tin đăng nhập bị xâm phạm sang giao diện mới. Họ cũng được khuyến cáo tránh các liên kết khôi phục hoặc nền tảng hoàn tiền của bên thứ ba không được xác minh. Sự việc nhấn mạnh rằng bảo mật trong blockchain không chỉ dừng lại ở lớp giao thức, mà các khâu như tạo ví, giao diện, xử lý seed phrase và quy trình khôi phục của người dùng đều có thể trở thành điểm thất bại nghiêm trọng.

bitcoinist06/27 03:02

Ví Cardano Bị Khai Thác Bởi SecondFi Khi Lỗi Khóa Riêng Tư Gây Ra Cảnh Báo An Ninh

bitcoinist06/27 03:02

Hacker đánh cắp gần 17 triệu đô la trong 40 ngày, 'hợp đồng zombie' đang biến thành máy rút tiền của hacker

**Tóm tắt: Hợp đồng thông minh "zombie" - máy rút tiền mới của hacker** Trong vòng 40 ngày (từ 07/05 đến 15/06/2026), tin tặc đã đánh cắp gần 17 triệu USD từ 5 hợp đồng thông minh cũ, đã ngừng sử dụng nhưng vẫn tồn tại trên blockchain. Sự cố nghiêm trọng nhất là với hợp đồng DxSale V1 Locker (mất ~7.3 triệu USD). Các nền tảng khác bao gồm TrustedVolumes, Huma Finance V1, Raydium Legacy AMM và Aztec Connect. Vấn đề cốt lõi không phải là một lỗ hổng cụ thể, mà nằm ở việc các hợp đồng cũ khi "nghỉ hưu" không được xử lý triệt để. Dù không còn được đội ngũ phát triển bảo trì, chúng vẫn giữ giá trị kinh tế (tiền, quyền ủy quyền) và có thể thực thi giao dịch, biến thành mục tiêu hoàn hảo. Các hợp đồng này thường bị lãng quên, giám sát lỏng lẻo và vẫn giữ các giả định bảo mật lỗi thời. Trong khi đó, chi phí để tin tặc tự động hóa quét tìm các mục tiêu "dài hạn" như vậy đang ngày càng giảm nhờ các công cụ phân tích mã, mô phỏng giao dịch và AI. Ngành công nghiệp DeFi đã có quy trình kiểm toán chặt chẽ trước khi triển khai, nhưng lại thiếu kỷ luật tương tự cho giai đoạn "khai tử" hợp đồng. Một hợp đồng chỉ thực sự an toàn khi mọi giá trị, quyền hạn, quyền truy cập và giả định đáng tin cậy đã được loại bỏ hoàn toàn.

marsbit06/26 09:14

Hacker đánh cắp gần 17 triệu đô la trong 40 ngày, 'hợp đồng zombie' đang biến thành máy rút tiền của hacker

marsbit06/26 09:14

Không ngờ, ứng dụng đầu tiên của AI x Crypto đã thành hiện thực lại là kiểm toán an ninh

Dữ liệu cho thấy, tính đến tháng 6, TVL của DeFi đã giảm khoảng 39% so với đầu năm. Cùng lúc, các vụ tấn công bảo mật tiếp tục gây áp lực, với tổn thất lên tới 942 triệu USD tính từ đầu năm 2026. Sự phổ biến của các công cụ AI thế hệ mới đang làm giảm đáng kể chi phí và yêu cầu kỹ năng để tìm ra lỗ hổng hợp đồng thông minh, đặt các công ty kiểm toán an ninh vào tâm điểm của cuộc khủng hoảng. Mặt tấn công đã được AI hóa. Các mô hình ngôn ngữ lớn giờ đây có thể quét hàng loạt hợp đồng để xác định mẫu lỗ hổng, rút ngắn thời gian từ phát hiện đến thực thi xuống còn vài phút, trong khi báo cáo kiểm toán truyền thống có hiệu lực tính bằng tháng. Ngay cả những giao thức đã được kiểm toán kỹ lưỡng như Drift Protocol hay KelpDAO vẫn bị tấn công thông qua lỗ hổng vận hành hoặc kỹ thuật xã hội. Các cuộc tấn công cũng nhắm vào hợp đồng cũ đã triển khai nhiều năm, cho thấy thời hạn bảo vệ của báo cáo kiểm toán cũ có thể đã hết hiệu lực. Để đối phó, nhu cầu kiểm toán phòng thủ từ các giao thức hiện có đang gia tăng. Tuy nhiên, về lâu dài, mô hình kinh doanh của các công ty kiểm toán đang phân hóa. Các công ty hàng đầu đang phát triển hệ thống kiểm toán hỗ trợ AI và chuyển dịch từ mô hình báo cáo một lần sang cung cấp dịch vụ giám sát liên tục, xác minh hình thức và phát hiện rủi ro thời gian thực. Công cụ kiểm toán AI nguyên bản như Firepan đã chứng minh hiệu quả khi phát hiện ra lỗ hổng phức tạp mà kiểm toán thủ công bỏ sót, như trong trường hợp của Curve Finance. Tóm lại, AI vừa thúc đẩy hiệu quả tấn công, vừa thúc đẩy nâng cấp hệ thống phòng thủ. An ninh không còn là thủ tục một lần mà trở thành cơ sở hạ tầng cần đầu tư liên tục. Các công ty kiểm toán cần tái cấu trúc nhanh chóng để thích ứng và tồn tại.

marsbit06/26 07:24

Không ngờ, ứng dụng đầu tiên của AI x Crypto đã thành hiện thực lại là kiểm toán an ninh

marsbit06/26 07:24

Không ngờ tới, AI x Crypto lại ứng dụng đầu tiên trong kiểm toán bảo mật

Dữ liệu cho thấy, tính đến tháng 6, tổng giá trị bị khóa (TVL) trong DeFi đã giảm khoảng 39% so với đầu năm. Cùng lúc, các vụ tấn công bảo mật tiếp tục gây áp lực, với thiệt hại ước tính lên tới 9,42 tỷ USD trong năm 2026. Một xu hướng đáng chú ý là sự phổ biến của các công cụ AI thế hệ mới, làm giảm đáng kể chi phí và yêu cầu kỹ năng để tìm kiếm lỗ hổng hợp đồng thông minh, đặt các công ty kiểm toán an ninh vào tâm điểm của cuộc khủng hoảng. Mặt tấn công đã được AI hóa. Các công cụ như Claude Mythos cho phép kẻ tấn công quét hàng loạt hợp đồng, phát hiện mẫu lỗ hổng và rút ngắn thời gian từ phát hiện đến thực thi xuống cấp độ vài phút. Điều này khiến các báo cáo kiểm toán truyền thống có "thời hạn sử dụng" bị thu hẹp nghiêm trọng, thậm chí về 0. Các vụ tấn công không chỉ nhắm vào hợp đồng mới mà còn khai thác lỗ hổng từ các hợp đồng cũ đã triển khai nhiều năm. Đáng chú ý, ngay cả những giao thức hàng đầu đã được kiểm toán kỹ lưỡng (như Drift Protocol, KelpDAO) vẫn bị xâm phạm thông qua các lỗi logic nghiệp vụ, kỹ thuật xã hội hoặc cấu hình hạ tầng. Trước thực tế mới, cả bên giao thức và công ty kiểm toán đều phải điều chỉnh. Về phía giao thức, nhu cầu kiểm toán lại theo tiêu chuẩn mới thời AI đang tăng lên như một khoản chi phòng thủ. Về phía công ty kiểm toán, mô hình kinh doanh báo cáo một lần đang bị thách thức. Họ buộc phải chuyển đổi sang mô hình dịch vụ nhúng toàn trình, tích hợp AI để nâng cao hiệu quả kiểm tra tự động, giám sát liên tục và phát hiện rủi ro thời gian thực. Các công cụ AI bản địa như Firepan đã chứng minh khả năng phát hiện những lỗ hổng phức tạp mà kiểm toán thủ công có thể bỏ sót, như trong trường hợp của Curve Finance và Zcash. Tóm lại, ngành kiểm toán an ninh đang chuyển từ mô hình hưởng lợi sang cạnh tranh khốc liệt dưới tác động của AI. An ninh không còn là thủ tục một lần mà phải là cơ sở hạ tầng được đầu tư liên tục. Các công ty kiểm toán cần tái cấu trúc nhanh chóng từ công cụ sang dịch vụ để tồn tại.

链捕手06/26 07:17

Không ngờ tới, AI x Crypto lại ứng dụng đầu tiên trong kiểm toán bảo mật

链捕手06/26 07:17

Lỗ hổng ví Cardano: SecondFi truy ra cuộc tấn công từ lỗi khóa riêng tư, cảnh báo người dùng không khôi phục cụm từ khôi phục

SecondFi đã xác định nguyên nhân gốc rễ của cuộc tấn công khai thác gần đây nhắm vào hàng trăm ví Cardano, dẫn đến tổn thất khoảng 16 triệu ADA (2,4 triệu USD) từ 374 ví. Lỗ hổng xuất phát từ một sai sót trong phần mềm tạo chữ ký, khiến việc phái sinh nonce có thể dự đoán được. Điều này cho phép kẻ tấn công tái tạo khóa riêng tư từ dữ liệu blockchain công khai mỗi khi địa chỉ bị ảnh hưởng ký giao dịch. SecondFi cảnh báo người dùng bị ảnh hưởng không khôi phục cụm từ khôi phục (seed phrase) vào ví khác, vì sự xâm phạm xảy ra ở cấp độ khóa riêng tư. Thay vào đó, họ nên chờ quy trình khôi phục chính thức thông qua cổng hỗ trợ. Công ty đã hoàn thành việc lập bản đồ các ví bị ảnh hưởng, cách ly khoảng 129 triệu ADA và thành lập quỹ bồi thường. Hai nhóm tấn công đã được xác định, chịu trách nhiệm cho các đợt rút tiền tự động. Nền tảng hiện vẫn trong chế độ bảo trì để đánh giá bảo mật độc lập.

ambcrypto06/25 16:18

Lỗ hổng ví Cardano: SecondFi truy ra cuộc tấn công từ lỗi khóa riêng tư, cảnh báo người dùng không khôi phục cụm từ khôi phục

ambcrypto06/25 16:18

Bitcoin giảm khoảng 5%, xuống 59.023,10 USD, lập mức thấp nhất kể từ tháng 10/2024. Lực lượng nhà đầu tư nhỏ lẻ rút lui, hé lộ điểm yếu mới của thị trường

Bitcoin giảm khoảng 5%, xuống mức 59.023,10 USD, đánh dấu mức thấp nhất kể từ tháng 10 năm 2024. Đà rút lui của lực lượng nhà đầu tư nhỏ lẻ đã làm lộ ra những điểm yếu mới trong cấu trúc thị trường tiền số hiện tại.

华尔街日报06/24 17:53

Bitcoin giảm khoảng 5%, xuống 59.023,10 USD, lập mức thấp nhất kể từ tháng 10/2024. Lực lượng nhà đầu tư nhỏ lẻ rút lui, hé lộ điểm yếu mới của thị trường

华尔街日报06/24 17:53

Lỗ hổng Hợp đồng Phí Bản quyền Legacy trên Polygon Dẫn đến Mất 261K USD Thông qua Lỗi Logic Phần thưởng

Một tin tặc đã khai thác lỗ hổng trong hợp đồng chi trả tiền bản quyền cũ (legacy royalties contract) trên mạng lưới Polygon, thu về khoảng 261.200 đô la tiền điện tử. Sự việc được công ty an ninh TenArmorAlert phát hiện và xác nhận vào ngày 23/6. Cuộc tấn công xảy ra do lỗi trong cơ chế tính toán và hạch toán phần thưởng của hợp đồng thông minh cũ này, cụ thể là trong hàm `Royal1155LD.beforeLdaTransfer()`. Kẻ tấn công đã thực hiện một loạt giao dịch có giá trị bằng 0 để thao túng số liệu tính thưởng và quyền sở hữu, từ đó làm tăng số dư token một cách giả tạo trong một số điều kiện nhất định. Họ cũng sử dụng flash loan (vay chớp nhoáng) để thực hiện khai thác, sau khi trả lại khoản vay đã thu lợi nhuận. Sự kiện này một lần nữa cảnh báo về rủi ro bảo mật từ các hợp đồng thông minh cũ hoặc phiên bản dự án đã ngừng hoạt động nhưng vẫn còn tiền. Các chuyên gia khuyến nghị nhà phát triển nên kiểm tra, cập nhật, vô hiệu hóa hoặc gỡ bỏ các triển khai cũ để giảm thiểu nguy cơ. Nhóm phát triển Polygon xác nhận cuộc tấn công này không ảnh hưởng đến bảo mật của mạng lưới blockchain chính.

TheNewsCrypto06/24 13:01

Lỗ hổng Hợp đồng Phí Bản quyền Legacy trên Polygon Dẫn đến Mất 261K USD Thông qua Lỗi Logic Phần thưởng

TheNewsCrypto06/24 13:01

Tiêu đề 'AI xâm nhập NSA trong vài giờ' gây bão, sự thật lại là một cuộc diễn tập đội đỏ?

Một câu nói lan truyền trên mạng xã hội rằng "Mythos (mô hình AI mạnh nhất của Anthropic) đã xâm nhập hầu hết hệ thống mật của NSA chỉ trong vài giờ" đã gây chấn động. Tuy nhiên, thông tin này đã được làm rõ. Câu nói bắt nguồn từ một bài báo trên The Economist, trích dẫn lời của Thượng nghị sĩ Mark Warner, người nghe lại từ Giám đốc NSA Joshua Rudd. Chính tác giả bài báo, Shashank Joshi, sau đó đã lên tiếng điều chỉnh. Ông giải thích rằng sự kiện này diễn ra trong "điều kiện rất cụ thể", với sự kết hợp của các công cụ khác, và bối cảnh thực sự là một **cuộc tập trận "đội đỏ" (red teaming) được ủy quyền**. Điều này có nghĩa là NSA đã chủ động sử dụng Mythos để kiểm tra, quét lỗ hổng trong một môi trường mô phỏng hoặc bản sao hệ thống mật của chính mình, chứ không phải một cuộc tấn công thực sự từ bên ngoài. Dù vậy, khả năng mô hình AI này có thể nhanh chóng phát hiện chuỗi lỗ hổng trong một hệ thống phức tạp như vậy vẫn là một tín hiệu đáng báo động về sức mạnh của nó. Bài viết cũng đề cập đến thái độ mâu thuẫn của chính phủ Mỹ đối với Anthropic và Mythos. Một mặt, họ đã ra lệnh cấm xuất khẩu mô hình này vào tháng 6 vì lo ngại an ninh. Mặt khác, các cơ quan như NSA vẫn được cho là đang sử dụng phiên bản xem trước của Mythos để tăng cường phòng thủ mạng. Điều này cho thấy sự phụ thuộc tiềm tàng vào công nghệ AI tiên tiến, ngay cả khi nhận thức được những rủi ro đi kèm.

marsbit06/23 00:56

Tiêu đề 'AI xâm nhập NSA trong vài giờ' gây bão, sự thật lại là một cuộc diễn tập đội đỏ?

marsbit06/23 00:56

Phân Tích Hook của Uniswap v4: Thiết Kế Kiến Trúc, Lỗ Hổng Phổ Biến và Thực Hành Phòng Ngừa

Kể từ khi Uniswap v4 ra mắt mainnet, cơ chế Hook đã trở thành một trong những đổi mới được chú ý nhất trong DeFi. Bài viết này phân tích kiến trúc Hook của Uniswap v4, các lỗ hổng bảo mật phổ biến và thực hành phòng ngừa. Trọng tâm của v4 là hợp đồng PoolManager đơn lẻ và mô hình unlock/callback. Mọi thay đổi trạng thái pool phải thông qua PoolManager.unlock(), với ràng buộc then chốt là NonzeroDeltaCount phải bằng 0 khi kết thúc giao dịch. Mỗi pool được liên kết với một hợp đồng Hook cố định, được PoolManager gọi lại tại các điểm sự kiện quan trọng (ví dụ: beforeSwap, afterAddLiquidity). Quyền hạn của Hook được mã hóa trong 14 bit thấp của địa chỉ triển khai, đòi hỏi phải tính toán cẩn thận bằng công cụ như HookMiner. Bài viết chỉ ra nhiều lỗ hổng và điểm rủi ro tiềm ẩn: - **Kiểm soát truy cập thiếu sót:** BaseHook ban đầu chỉ bảo vệ unlockCallback(), để các hàm hook khác (beforeSwap, afterSwap...) không có bảo vệ, cần được triển khai thủ công. - **Ràng buộc pool lỏng lẻo:** PoolManager không giới hạn việc một Hook có thể được sử dụng cho nhiều pool. Hook cần tự triển khai whitelist hoặc cơ chế ràng buộc đơn pool trong beforeInitialize. - **Async/Custom Curve Hook rủi ro cao:** Hook có thể chặn toàn bộ số lượng swap (bằng cách trả về delta phủ định), thay thế hoàn toàn logic swap gốc của Uniswap, trở thành một hợp đồng tài chính tự trị cần được kiểm toán cực kỳ nghiêm ngặt. - **Kế toán Delta chỉ đảm bảo "bảo toàn", không đảm bảo "chính xác":** NonzeroDeltaCount == 0 đảm bảo sổ sách cân bằng cuối kỳ, nhưng không ngăn nội dung sổ sách bị thao túng độc hại. - **Nhầm lẫn loại token:** Khi giao thức cho phép người dùng tạo thị trường, việc xác thực ngữ nghĩa token là bắt buộc, không thể chỉ dựa vào kiểm tra interface. Sự cố bảo mật của Cork Protocol được nêu làm ví dụ, cho thấy sự phức tạp trong kiểm toán Hook v4: mỗi Hook là một vùng tin cậy độc lập, và việc kiểm toán phải bao quát toàn bộ "giao thức con" tương tác phức tạp, chứ không chỉ riêng mã hợp đồng Hook. Sự thay đổi này đòi hỏi nâng cấp phương pháp luận từ cả phía dự án và nhà kiểm toán.

marsbit06/22 08:08

Phân Tích Hook của Uniswap v4: Thiết Kế Kiến Trúc, Lỗ Hổng Phổ Biến và Thực Hành Phòng Ngừa

marsbit06/22 08:08

活动图片

Danh mục Phổ biếnright-arrow

Thẻ Nổi bậtright-arrow