## Arbitrum đã trở thành nạn nhân của một vụ khai thác lớn: Futureswap mất 395 nghìn USD

Nền tảng Futureswap trên mạng lưới Arbitrum đã bị tấn công nghiêm trọng, dẫn đến việc kẻ tấn công rút ra 395 000 đô la bằng $USDC. Sự cố đã được hệ thống an ninh BlockSec Phalcon phát hiện, theo dõi hoạt động đáng ngờ nhằm vào hợp đồng thông minh của giao thức. Những kẻ khai thác đã sử dụng một tổ hợp phức tạp của nhiều thao tác để vượt qua các cơ chế bảo mật và truy cập vào tài sản.

## Quá trình tấn công khai thác trên hợp đồng thông minh diễn ra như thế nào?

Phân tích chuỗi khối tiết lộ một chuỗi hành động chi tiết của các kẻ tấn công. Ban đầu, kẻ tấn công gọi hàm "flashLoanSimple" từ Aave Pool V3, yêu cầu vay 500 tỷ đơn vị $USDC. Khoản vay nhanh này đã kích hoạt một chuỗi các lệnh gọi ủy quyền qua các module "FlashLoanLogic" và "L2PoolInstance", cuối cùng chuyển tiền vào tài khoản của kẻ tấn công.

Tiếp theo, kẻ tấn công thực hiện thao tác "executeOperation", nhận khoản vay flash cùng với phần thưởng gần 250 triệu đơn vị. Khai thác cũng sử dụng nhiều lần gọi "changePosition", cho phép thao túng logic tính toán của hệ thống và rút ra lượng lớn $USDC khi đóng vị thế. Toàn bộ quá trình dựa trên hành vi bất ngờ của biến "stableBalance" trong quá trình cập nhật vị trí của người dùng.

## Các biện pháp bảo vệ DeFi cần được cải thiện mạnh mẽ

Sự cố này cho thấy một lỗ hổng nghiêm trọng trong việc bảo vệ hạ tầng hợp đồng của các nền tảng DeFi. Khai thác đã phơi bày điểm yếu trong xác thực các thao tác buchaulter cũng như thiếu các cơ chế kiểm tra an ninh. Đội ngũ Futureswap dự kiến sẽ phát hành tuyên bố chính thức và kế hoạch hành động khắc phục trong thời gian tới.

Các bước tiếp theo sẽ tập trung vào việc phát triển các giải pháp phòng thủ toàn diện. Sự kiện này là lời nhắc nhở toàn bộ hệ sinh thái DeFi về tầm quan trọng của việc triển khai các giao thức bảo mật nghiêm ngặt hơn và các quy trình kiểm tra minh bạch cho các hợp đồng thông minh.