Thao Tác Arkadiko Finance: Làm Thế Nào Một Cuộc Tấn Công Quản Trị DAO Đã Rút $1.09M?

Cuộc tấn công Arkadiko Finance vào ngày 22 tháng 10 năm 2026 đã phơi bày một điểm yếu nghiêm trọng trong quản trị phi tập trung sau khi một kẻ tấn công thao túng một bỏ phiếu DAO để chiếm quyền kiểm soát các chức năng quan trọng của giao thức.

Sự cố đã dẫn đến thiệt hại khoảng 1,09 triệu đô la, việc đánh cắp tài sản thế chấp stSTX và sBTC, và sự sụp đổ mạnh mẽ trong giá trị của đồng stablecoin USDA. Khác với các cuộc tấn công hợp đồng thông minh thông thường, kẻ tấn công đã sử dụng quy trình quản trị hợp pháp của Arkadiko để ủy quyền mã độc.

Chúng tôi sẽ xem xét cách thức cuộc tấn công diễn ra, tại sao các biện pháp bảo vệ hiện có đã thất bại, và sự cố này có ý nghĩa gì đối với an ninh và phục hồi DeFi.

Điểm nổi bật chính

• Cuộc tấn công Arkadiko Finance xảy ra vào ngày 22 tháng 10 năm 2026, khi một kẻ tấn công sử dụng Đề xuất 12 để ủy quyền một hợp đồng độc hại và rút khoảng 1,09 triệu đô la tài sản.
• Kẻ tấn công đã kiểm soát 4,57 triệu phiếu bầu quản trị DIKO, rút tài sản thế chấp stSTX và sBTC, và phát hành khoảng 1,5 tỷ token USDA không có hỗ trợ, gây ra sự tách rời giá trị của đồng stablecoin.
• Arkadiko sau đó đã vô hiệu hóa hợp đồng độc hại, bổ sung tài sản thế chấp bị ảnh hưởng và khôi phục các hoạt động hợp pháp của kho, nhưng các biện pháp này không thiết lập được sự phục hồi tài chính hoàn toàn hay khôi phục mức peg của USDA.

Điều gì đã xảy ra trong cuộc tấn công Arkadiko Finance?

(nguồn hình ảnh: bitquery.com)

Cuộc tấn công tiền điện tử Arkadiko là một cuộc tiếp quản quản trị nhắm vào Arkadiko Finance, một giao thức cho vay và stablecoin phi tập trung hoạt động trên Stacks, một mạng lưới blockchain kết nối với Bitcoin.

Arkadiko cho phép người dùng gửi tiền điện tử vào các kho thế chấp và vay USDA, stablecoin gắn với đồng đô la. Token DIKO của nó cung cấp quyền quản trị, cho phép các chủ sở hữu phê duyệt các đề xuất thay đổi hoạt động của giao thức.

Vào ngày 22 tháng 10, một kẻ tấn công đã khai thác hệ thống ra quyết định này bằng cách thông qua Đề xuất 12, đề xuất một hợp đồng hoạt động kho độc hại. Hợp đồng được phê duyệt chứa các chức năng có khả năng chuyển tài sản thế chấp và phát hành USDA mà không có sự ủy quyền đúng cách từ người gọi.

Các cuộc điều tra blockchain do Bitquery và BlockintAI thực hiện đã xác định sự cố này là một cuộc tấn công quản trị chứ không phải là sự xâm phạm đồng thuận blockchain Stacks. Kẻ tấn công không cần phải đánh cắp chìa khóa riêng của quản trị viên. Thay vào đó, chính cơ chế quản trị đã cấp cho hợp đồng độc hại quyền hạn đối với các hoạt động nhạy cảm của giao thức.

Cuộc tấn công quản trị Arkadiko đã hoạt động như thế nào?

Cuộc khai thác quản trị Arkadiko phát triển qua nhiều ngày, bắt đầu từ một đề xuất nâng cấp giao thức có vẻ hợp pháp và kết thúc với việc rút tài sản thế chấp nhanh chóng.

1. Một Đề xuất Độc hại đã được Gửi đi

Vào ngày 17 tháng 10 năm 2026, một ví do kẻ tấn công kiểm soát đã gửi Đề xuất 12, với tiêu đề "AIP 32 - Cập nhật hoạt động kho để phân phối phần thưởng." Đề xuất dường như mô tả một cải tiến thường xuyên trong việc phân phối phần thưởng.

Tuy nhiên, hợp đồng đi kèm, có tên là arkadiko-vaults-operations-v2-1, đã giới thiệu các chức năng có thể di chuyển tài sản thế chấp và tạo ra USDA mà không có các giới hạn truy cập thích hợp. Đề xuất này nhằm đăng ký hợp đồng đó như một thành phần hoạt động kho được ủy quyền của Arkadiko.

2. Kẻ tấn công đã Chiếm được Quyền biểu quyết DIKO

Các quy tắc quản trị của Arkadiko yêu cầu sự tham gia đủ DIKO để phê duyệt một đề xuất. Theo các cuộc điều tra trên chuỗi, kẻ tấn công đã tích lũy được khoảng 4.573.197 DIKO, bao gồm khoảng 3,39 triệu DIKO được mua ngay trước khi bỏ phiếu.

Bitquery ước tính rằng việc mua token bỏ phiếu đã tốn khoảng 51.000 đô la. Kẻ tấn công đã bỏ phiếu vào ngày 22 tháng 10. Không có phiếu bầu phản đối nào được ghi lại, cho phép đề xuất đáp ứng các điều kiện phê duyệt cần thiết.

3. Đề xuất 12 đã Cấp Quyền Kiểm soát Kho

Vào khoảng 16:04 UTC ngày 22 tháng 10, đề xuất đã được thực hiện. Quy trình quản trị đã ghi nhận hợp đồng độc hại như một thành phần hoạt động kho được ủy quyền.

Điều quan trọng là, hệ thống không đặt ra một khoảng thời gian chờ riêng biệt giữa việc thực hiện quản trị thành công và hợp đồng nhận được quyền hạn mới của nó. Điều này có nghĩa là kẻ tấn công có thể ngay lập tức sử dụng các chức năng được phê duyệt thông qua bỏ phiếu DAO.

4. Kẻ tấn công đã Rút tài sản thế chấp và Tạo ra USDA

Chỉ trong vài phút sau khi thực hiện, kẻ tấn công đã sử dụng hợp đồng độc hại để rút tài sản thế chấp và tạo ra USDA không có hỗ trợ. Các cuộc điều tra trên chuỗi đã xác định được việc rút khoảng 2.07 triệu stSTX và 1.65 sBTC từ bể kho.

Kẻ tấn công cũng đã phát hành khoảng 1,5 tỷ USDA thông qua phát hành trái phép. Một phần của các token mới tạo ra đó đã được trao đổi lấy các tài sản khác, rút thêm giá trị từ các bể thanh khoản của Arkadiko.

5. Tài sản bị Đánh cắp đã được Di chuyển Qua Các Mạng

Sau khi vụ khai thác diễn ra, kẻ tấn công đã chuyển đổi và chuyển tài sản qua nhiều mạng blockchain khác nhau. Bitquery đã xác định các giao dịch chuyển nhượng liên quan đến STX, Bitcoin, USDCx, Ethereum, và Tornado Cash.

Cuộc điều tra của nó đã chỉ ra khoảng 4.86 BTC đã được chuyển đến Bitcoin và khoảng 213.3 ETH sau đó đã được gửi vào Tornado Cash. Những giao dịch này minh họa cách mà việc chuyển tiền qua chuỗi và chuyển đổi tài sản có thể làm phức tạp nỗ lực truy vết và phục hồi tiền điện tử bị đánh cắp.

Bao nhiêu đã bị mất trong cuộc tấn công Arkadiko?

Bitquery ước tính rằng vụ khai thác Arkadiko Finance đã gây ra khoảng 1,09 triệu đô la thiệt hại, được đo lường bằng cách sử dụng các giá trị tài sản xung quanh sự cố. Các khoản thiệt hại ước tính được phân phối qua việc rút tài sản thế chấp và các giao dịch bể thanh khoản.

Kẻ tấn công cũng đã phát hành khoảng 1,5 tỷ USDA, nhưng con số này không nên được hiểu là 1,5 tỷ đô la tài sản bị đánh cắp. Phần lớn nguồn cung USDA trái phép đã bị thiêu hủy trước khi nó có thể được lưu thông.

Phương pháp tính toán tổn thất kinh tế thay vào đó bao gồm tài sản thế chấp thực tế đã được lấy và tài sản được trích xuất thông qua các giao dịch hoán đổi. Một ước tính rộng hơn trị giá 1,16 triệu đô la xuất hiện trong một số cuộc điều tra bao gồm các sự cố liên quan đến StackSwap, mà phải được phân biệt với tổn thất trực tiếp của Arkadiko.

Tại sao USDA mất chốt đô la?

USDA đã mất chốt đô la vì cuộc tấn công làm tổn hại cả tài sản thế chấp và niềm tin vào cơ chế đổi lại của nó. USDA được thiết kế để duy trì giá trị gần 1 đô la thông qua việc vay thế chấp và khuyến khích đổi lại.

Dưới điều kiện bình thường, người dùng có thể đổi USDA thông qua cơ chế đổi lại của giao thức để lấy giá trị thế chấp, giúp điều chỉnh sự lệch lạc của thị trường. Cuộc tấn công quản trị đã làm gián đoạn mối quan hệ đó theo hai cách.

Đầu tiên, kẻ tấn công đã gỡ bỏ một lượng lớn tài sản thế chấp khỏi hệ thống kho. Thứ hai, việc phát hành USDA không được phép đã làm tăng số lượng token có khả năng cạnh tranh cho thanh khoản có sẵn. Kẻ tấn công đã bán một phần của USDA mới được phát hành, làm tăng thêm áp lực bán.

Bitquery đã báo cáo rằng một số giao dịch bán USDA liên quan đến kẻ tấn công đã xảy ra với giá khoảng 0,13 đô la mỗi token trong sự cố này. Mặc dù Arkadiko sau đó đã đốt cháy hơn 99% số lượng phát hành không được phép, việc đốt token không tự động trả lại tài sản thế chấp đã bị đánh cắp hoặc khôi phục chức năng đổi lại bình thường.

Do đó, sự sụp đổ giá USDA phản ánh một cuộc khủng hoảng niềm tin và tài sản thế chấp đang diễn ra, không chỉ đơn giản là sự biến động thông thường của tiền điện tử.

Kế hoạch phục hồi Arkadiko Finance và khôi phục quyền kiểm soát kho

(Nguồn hình ảnh: daemontechnologies.co)

Phản ứng ban đầu của Arkadiko tập trung vào việc ngăn chặn các hành động không được phép và giải quyết tình trạng thiếu tài sản thế chấp. Sau cuộc tấn công, nhóm báo cáo đã vô hiệu hóahợp đồng độc hại, tạm dừng quản trị và suspending redemptions và liquidations.

Giao thức cũng báo cáo đã liên lạc với các sàn giao dịch về các quỹ có thể đã bị đánh cắp và tìm kiếm sự hỗ trợ từ lực lượng thực thi pháp luật.

Bổ sung tài sản thế chấp và quyền truy cập kho

Trong bản cập nhật ngày 25 tháng 10, Arkadiko cho biết rằng tài sản thế chấp bổ sung đã được gửi vào các hợp đồng kho bị ảnh hưởng. Theo bản cập nhật đó, các kho đã có đủ tài sản thế chấp cho việc rút tiền, và người dùng có thể hoàn trả nợ còn lại.

Tuy nhiên, việc đổi lại USDA vẫn bị tạm dừng, và nhóm đã báo cáo USDA giao dịch gần 0,30 đô la vào thời điểm đó. Sự phân biệt này quan trọng vì việc bổ sung tài sản thế chấp kho bằng cách sử dụng nguồn lực của giao thức không nhất thiết có nghĩa là kẻ tấn công đã trả lại các tài sản bị đánh cắp.

Đề xuất 14 Khôi phục hoạt động kho hợp pháp

Vào ngày 27 tháng 10 năm 2026, quản trị Arkadiko đã thực hiện Đề xuất 14, có tiêu đề "AIP 32.2 - Khôi phục hoạt động kho." Đề xuất này đã khôi phụcarkadiko-vaults-operations-v1-3 hợp đồng như là thành phần hoạt động kho được ủy quyền.

Quyết định quản trị này đã đảo ngược việc ghi danh hợp đồng độc hại được giới thiệu thông qua Đề xuất 12. Tuy nhiên, việc khôi phục quyền kiểm soát hợp đồng không độc lập xác lập rằng USDA đã lấy lại chốt của nó hoặc rằng mọi người tham gia bị ảnh hưởng đã nhận được bồi thường.

Tính đến ngày 3 tháng 11, thông tin công khai được xem xét không xác lập việc phục hồi hoàn toàn các tài sản bị đánh cắp hoặc sự bình thường đầy đủ của việc đổi lại USDA.

Liệu Module Bảo mật Arkadiko có thể bù đắp tổn thất?

Tài liệu của Arkadiko mô tả một Module Bảo mật nhằm cung cấp bảo vệ hạn chế chống lại nợ xấu của giao thức. Dưới thiết kế đã được ghi tài liệu, lên đến 30% token DIKO được ký quỹ trong module có thể được sử dụng để bù đắp tài chính đủ điều kiện thông qua hành động được quản trị phê duyệt.

Tuy nhiên, sự tồn tại của cơ chế này không đảm bảo bồi thường. Việc nó có thể được kích hoạt hay không, giá trị mà nó có thể cung cấp ra sao, và việc quản trị có chấp thuận việc sử dụng nó cho sự cố này không yêu cầu sự xác nhận riêng biệt.

Cuộc tấn công ảnh hưởng đến TVL của Arkadiko và hệ sinh thái Stacks như thế nào?

Cuộc tấn công đã gây ra sự giảm mạnh tổng giá trị bị khóa (TVL) của Arkadiko, đo lường tài sản được giữ trongcác hợp đồng thông minh của giao thức DeFi. Theo dữ liệu lịch sử của DefiLlama, TVL của Arkadiko đã giảm từ khoảng 1,43 triệu đô la vào ngày 22 tháng 10 xuống 141,585 đô la vào ngày 23 tháng 10, tương ứng với mức giảm khoảng 90%.

Đến ngày 25 tháng 10, giá trị theo dõi đã giảm xuống khoảng 131,714 đô la. Mặc dù việc bổ sung tài sản thế chấp sau đó đã làm tăng TVL được báo cáo, những thay đổi đó đơn thuần không chứng minh rằng niềm tin của người dùng hoặc chức năng giao thức đã phục hồi hoàn toàn.

Mối liên hệ giữa Arkadiko và StackSwap

Các nhà điều tra cũng đã xác định một cuộc tấn công quản trị liên quan đến StackSwap, một sàn giao dịch phi tập trung khác hoạt động trên Stacks. Sự cố StackSwap xảy ra trước đó, với các ví liên kết với kẻ tấn công sử dụng một đề xuất nâng cấp lừa đảo để giành quyền kiểm soát các hoạt động của pool thanh khoản.

Bitquery ước tính tổng tổn thất khoảng 70,500 đô la từ hai lần tiếp quản quản trị StackSwap. Một lần tiếp quản được liên kết thông qua tài trợ ví và chuyển tiền đến cuộc tấn công Arkadiko tiếp theo.

Các nhà điều tra không xác lập rằng mọi ví tham gia vào các sự cố StackSwap riêng biệt đều thuộc về cùng một kẻ tấn công. Những sự cố này đã phơi bày những điểm yếu trong các hệ thống quản trị ứng dụng riêng lẻ chứ không chứng minh rằng mạng lưới Stacks cơ bản đã bị xâm phạm.

Cuộc tấn công Arkadiko tiết lộ điều gì về An ninh Quản trị DAO?

Cuộc tấn công Arkadiko Finance cho thấy rằng bỏ phiếu phi tập trung không tự động đảm bảo quyết định an toàn. Một đề xuất quản trị có thể thỏa mãn các yêu cầu bỏ phiếu kỹ thuật trong khi ủy quyền cho hành vi hợp đồng thông minh gây hại. Một số điểm yếu đã góp phần vào sự cố này:

• Quyền lực bỏ phiếu tập trung: Một kẻ tấn công đã có đủ DIKO để thông qua một đề xuất quan trọng mà không gặp phải sự phản đối đáng kể.
• Sự tham gia bỏ phiếu hạn chế: Không có phiếu chống nào đã thách thức Đề xuất 12 trước khi thực hiện.
• Các biện pháp bảo vệ hợp đồng không đủ: Hợp đồng được phê duyệt chứa các chức năng thiếu quyền ủy quyền cho người kêu gọi thích hợp.
• Không có độ trễ thực hiện riêng biệt: Kẻ tấn công có thể sử dụng hợp đồng mới được ủy quyền ngay sau khi thực hiện đề xuất.
• Xem xét quản trị yếu: Một đề xuất được trình bày như một bản nâng cấp thường xuyên đã giới thiệu các thay đổi nhạy cảm đến quản lý tài sản và quyền cấp phép đúc.

Đối với các giao thức DeFi, các biện pháp bảo vệ có thể bao gồm các bức ảnh chụp quyền biểu quyết lịch sử, khóa thời gian, đánh giá đề xuất độc lập, quyền hạn hợp đồng bị hạn chế và giám sát quản trị chủ động.

Những kiểm soát này giảm bớt các cơ hội tấn công cụ thể nhưng không thể loại bỏ mọi điểm yếu tiềm ẩn. Đối với người dùng, việc đánh giá an ninh của một dự án DeFi cũng có nghĩa là đánh giá sự tập trung quản trị, quy trình nâng cấp, điều kiện thanh khoản và khả năng ứng phó sự cố thay vì chỉ dựa vào các kiểm toán hợp đồng thông minh.

Kết luận

Cuộc tấn công Arkadiko Finance minh họa cách một hệ thống bỏ phiếu DAO hợp pháp có thể trở thành một vector tấn công khi quyền quản trị không được hạn chế đầy đủ. Sự cố ngày 22 tháng 10 đã gây ra khoảng thiệt hại 1,09 triệu đô la, làm gián đoạn tỷ lệ đô la của USDA và phơi bày những điểm yếu trong ủy quyền hợp đồng và sự tham gia quản trị.

Các hành động tiếp theo của Arkadiko đã khôi phục quyền kiểm soát kho hợp pháp và tiếp tục bồi thường tài sản bị ảnh hưởng, nhưng việc phục hồi hợp đồng và phục hồi tài chính là những kết quả riêng biệt.

Trước khi tương tác với Arkadiko hoặc các giao thức DeFi tương tự, người dùng nên xác minh tính sẵn có của việc đổi lại hiện tại, thanh khoản stablecoin, bảo vệ quản trị và thông báo phục hồi chính thức.

Người đọc quan tâm đến việc theo dõi các thị trường tiền điện tử có thể khám phá Bitrue Exchange, trong khi các cập nhật bảo mật blockchain bổ sung và tài nguyên giáo dục có thể được truy cập qua Bitrue Blog.

Câu hỏi thường gặp

Điều gì đã khiến cuộc tấn công Arkadiko Finance xảy ra?

Cuộc tấn công Arkadiko Finance được gây ra bởi một kẻ tấn công sử dụng quản trị DAO để ủy quyền cho một hợp đồng hoạt động kho độc hại. Đề xuất 12 đã được thông qua với các phiếu DIKO do kẻ tấn công kiểm soát và đã cấp quyền cho hợp đồng truy cập vào các chức năng quản lý tài sản thế chấp và đúc USDA.

Khoảng bao nhiêu tiền điện tử đã bị đánh cắp từ Arkadiko?

Bitquery ước tính rằng khoảng 1,09 triệu đô la tài sản đã bị mất trong sự cố ngày 22 tháng 10 năm 2026. Các tài sản bị ảnh hưởng bao gồm stSTX, sBTC và STX thu được qua các giao dịch liên quan đến việc phát hành USDA không được ủy quyền.

Tại sao USDA lại mất tỷ lệ của mình sau cuộc tấn công Arkadiko?

USDA đã mất tỷ lệ của mình sau khi kẻ tấn công rút hết tài sản thế chấp hỗ trợ và đúc một lượng lớn token không được đảm bảo. Áp lực bán ra do đó, chức năng đổi lại bị suy giảm và sự không chắc chắn xung quanh tính sẵn có của tài sản thế chấp đã làm suy yếu niềm tin của thị trường.

Có phải cuộc bỏ phiếu quản trị Arkadiko đã khôi phục quyền kiểm soát kho không?

Có. Vào ngày 27 tháng 10 năm 2026, Đề xuất 14 đã khôi phục hợp đồng hoạt động kho hợp pháp của Arkadiko. Tuy nhiên, sự thay đổi quản trị này không tự động khôi phục tài sản bị đánh cắp hoặc đảm bảo rằng việc đổi lại và giá USDA đã trở về bình thường.

Liệu Arkadiko Finance đã phục hồi hoàn toàn từ cuộc tấn công chưa?

Việc phục hồi hoàn toàn chưa được xác lập độc lập tính đến ngày 3 tháng 11 năm 2026. Arkadiko đã thông báo việc bổ sung tài sản thế chấp kho và khôi phục quyền kiểm soát hợp đồng hợp pháp, nhưng việc phục hồi tài sản bị đánh cắp, khôi phục tỷ lệ USDA và bồi thường toàn diện vẫn chưa được giải quyết hoặc xác minh đầy đủ.

Tuyên bố miễn trừ: Những quan điểm được thể hiện hoàn toàn thuộc về tác giả và không phản ánh quan điểm của nền tảng này. Nền tảng này và các công ty con của nó từ chối mọi trách nhiệm về độ chính xác hoặc tính thích hợp của thông tin được cung cấp. Nó chỉ mang mục đích thông tin và không nhằm mục đích là lời khuyên tài chính hoặc đầu tư.