Những điểm chính:
Một kẻ tấn công đã thổi phồng tài sản thế chấp wGOOGLx lên gấp 78 lần giá trị thực thông qua thao túng oracle bằng flash loan, rút 403.000 USD từ quỹ dự trữ cho vay của Edel Finance vào ngày 1 tháng 7.
"Kẻ tấn công đã triển khai các hợp đồng khai thác mới và sử dụng flash loan để bóp méo tỷ giá hối đoái giữa wGOOGLx và GOOGLx, khiến tài sản thế chấp được bọc (wrapped) bị định giá cao hơn khoảng 78 lần so với giá chính xác," Blockaid, công ty bảo mật blockchain đã phát hiện vụ khai thác theo thời gian thực, cho biết.
Hành vi thao túng nhắm vào quỹ dự trữ cho vay xStock của Edel trên Ethereum. Các oracle của Chainlink đã báo cáo chính xác giá cổ phiếu Alphabet ở mức khoảng 357 USD — lỗ hổng nằm ở cơ chế bọc (wrapping) chuyển đổi GOOGLx thành dạng bọc wGOOGLx, chứ không phải ở bản thân nguồn cấp dữ liệu giá. Kẻ tấn công đã vay tài sản thực dựa trên tài sản thế chấp ảo, sau đó chuyển số tiền bị đánh cắp qua Tornado Cash, theo hồ sơ của Etherscan.
Edel đã tạm dừng tất cả các hợp đồng V1, hấp thụ khoản nợ xấu và cam kết khôi phục 1:1 cho người gửi tiền. Nhóm đang triển khai V2 với kiến trúc oracle được thiết kế lại và đã đề nghị kẻ tấn công một thỏa thuận whitehat. Sự cố này làm nổi bật những rủi ro dai dẳng trong tài sản thực tế được token hóa, nơi các bước bọc và chuyển đổi bổ sung thêm các bề mặt tấn công ngoài việc thao túng oracle tiêu chuẩn.
Tổng giá trị bị khóa (TVL) trên Edel Finance đã giảm mạnh từ khoảng 630.000 USD xuống còn khoảng 947 USD sau vụ khai thác, theo dữ liệu của DefiLlama, khi người dùng đổ xô rút tiền. Giao thức này ghi nhận dòng vốn rút ròng ước tính 630.000 USD, mức lớn nhất từng được ghi nhận.
Vụ khai thác này làm gia tăng thêm nửa đầu năm 2026 đầy khốc liệt đối với bảo mật DeFi. Tổng thiệt hại tích lũy trên toàn lĩnh vực đã vượt quá 1,1 tỷ USD, với thao túng oracle và tỷ giá hối đoái nằm trong số các vectơ tấn công phổ biến nhất, theo CertiK. Riêng tháng 4 đã chứng kiến 28 đến 30 vụ tấn công riêng biệt với tổng trị giá hơn 625 triệu USD.
Bài viết này chỉ nhằm mục đích cung cấp thông tin và không cấu thành lời khuyên đầu tư.
