Ngày 28 tháng 10 năm 2025, cộng đồng GoPlus Chinese đã đưa ra cảnh báo bảo mật: Giao thức chuỗi chéo x402 @402bridge bị nghi ngờ bị đánh cắp, khiến tài sản USDC của hơn 200 người dùng bị tổn thất.

Bài viết này tổng hợp sự kiện trộm cắp liên quan đến giao thức chuỗi chéo 402Bridge, phản hồi từ đội ngũ chính thức và các bên liên quan, phân tích nguyên nhân vụ trộm và thảo luận về các vụ tấn công hacker khác do lộ khóa cá nhân.

I. Tái hiện sự kiện và Phản hồi từ Phía Chính thức 402Bridge cùng các Bên

Vào sáng sớm, tài khoản X chính thức của 402Bridge đã đăng bài: Dựa trên phản hồi từ cộng đồng, một sự cố trộm cắp token đã xảy ra. Đội ngũ kỹ thuật của chúng tôi hiện đang điều tra toàn bộ quá trình. Đề nghị tất cả người dùng lập tức thu hồi tất cả các ủy quyền hiện có và chuyển tài sản ra khỏi ví càng sớm càng tốt.

Sau đó, tài khoản chính thức tiếp tục đăng bài: Cơ chế x402 yêu cầu người dùng ký hoặc phê duyệt giao dịch thông qua giao diện web, sau đó gửi chúng đến máy chủ backend. Máy chủ backend trích xuất tiền và thực thi việc đúc coin, cuối cùng trả về kết quả cho người dùng. Khi chúng tôi tích hợp https:/x402scan.com, chúng tôi cần lưu trữ khóa cá nhân trên máy chủ để gọi các phương thức hợp đồng. Bước này có thể làm lộ các đặc quyền quản trị viên vì khóa cá nhân quản trị đã được kết nối với internet ở giai đoạn này, có khả năng dẫn đến rò rỉ đặc quyền. Nếu hacker lấy được khóa cá nhân, họ có thể tiếp quản các đặc quyền này và phân bổ lại tiền của người dùng để thực hiện cuộc tấn công. Chúng tôi vẫn đang điều tra chi tiết cụ thể của cuộc tấn công.

Hai giờ trước, phía chính thức chỉ ra: Do sự rò rỉ khóa cá nhân lần này, hơn mười ví thử nghiệm và ví chính của nhóm cũng đã bị xâm nhập (như hình dưới đây). Chúng tôi đã lập tức báo cáo vấn đề này với cơ quan thực thi pháp luật và sẽ thông báo kịp thời cho cộng đồng về những diễn biến mới nhất.

Cộng đồng GoPlus Chinese đã tái hiện sự kiện trộm cắp:

Creator của hợp đồng 0xed1AFc4DCfb39b9ab9d67f3f7f7d02803cEA9FC5 đã chuyển Owner sang cho 0x2b8F95560b5f1d1a439dd4d150b28FAE2B6B361F. Sau đó, Owner mới đã gọi phương thức transferUserToken trong hợp đồng để chuyển số USDC còn lại từ tất cả các ví người dùng đã được ủy quyền.

Trước khi mint, người dùng cần ủy quyền USDC cho hợp đồng @402bridge, dẫn đến hơn hai trăm người dùng bị chuyển đi số USDC còn lại do ủy quyền số lượng quá mức. 0x2b8F95560b5f1d1a439dd4d150b28FAE2B6B361F đã chuyển tổng cộng 17,693 USDC từ người dùng, sau đó hoán đổi USDC lấy ETH và sau nhiều giao dịch chuỗi chéo, đã chuyển nó sang Arbitrum.

Khuyến nghị Bảo mật từ GoPlus:

1. Người dùng đã từng tham gia dự án nên thu hồi các ủy quyền liên quan đến (0xed1AFc4DCfb39b9ab9d67f3f7f7d02803cEA9FC5) càng sớm càng tốt.

2. Kiểm tra xem địa chỉ ủy quyền có phải là địa chỉ chính thức của dự án trước khi cấp bất kỳ ủy quyền nào.

3. Chỉ ủy quyền số lượng cần thiết; tránh ủy quyền không giới hạn.

4. Thường xuyên xem xét các ủy quyền và thu hồi những ủy quyền không sử dụng.

Người dùng X @EamonSol chỉ ra: Nhiều triển khai x402 hiện tại về cơ bản triển khai một dịch vụ trên http:/x402scan.com. Dịch vụ này chuyển tiếp các tương tác trên chuỗi đến máy chủ của dự án, sau đó dự án tương tác với blockchain để phân phối token. Quá trình này nhất thiết phải yêu cầu đặt khóa cá nhân của hợp đồng trên chuỗi lên máy chủ. Một khi máy chủ của dự án bị xâm phạm, tất cả các địa chỉ liên quan đến hợp đồng sẽ bị phơi bày trước rủi ro.

Người dùng X @fenzlabs chỉ ra: Vụ việc này làm nổi bật sự nguy hiểm của việc ủy quyền token không giới hạn. Ví và tác nhân AI cần các hạn chế chặt chẽ hơn và giám sát toàn diện hơn để ngăn chặn những vụ trộm cắp xảy ra nhanh chóng này. Đừng bao giờ mù quáng tin tưởng vào các hợp đồng mới — luôn kiểm tra cẩn thận trước khi ký!

II. Nguyên nhân vụ trộm

Theo phân tích của Yu Xian từ MistTrack, cuộc tấn công vào dự án cầu nối chuỗi chéo 402Bridge bắt nguồn từ việc rò rỉ khóa cá nhân, và không thể loại trừ khả năng có sự tham gia của nội bộ. Tên miền 402bridge.fun chỉ được đăng ký hai ngày trước khi ngừng hoạt động. Hiện tại, số tiền bị đánh cắp chưa có diễn biến gì thêm. Đây là sự cố bảo mật công khai đầu tiên liên quan đến các dịch vụ giao thức 402. Yu Xian của MistTrack cho biết sự kiện này không phải là trường hợp điển hình về hành vi xấu tập thể của nhóm dự án.

"Sự kiện không phải là hành vi xấu tập thể điển hình của nhóm dự án" ngụ ý rằng cuộc tấn công có nhiều khả năng là do sự thất bại trong kiểm soát bảo mật nội bộ hoặc sự xâm nhập chính xác của hacker bên ngoài, hơn là hành vi lừa đảo có chủ ý của nhóm dự án.

III. Các vụ tấn công hacker khác do lộ khóa cá nhân

1. Nomad
   Tháng 8 năm 2022, Nomad Bridge bị tấn công bởi hacker, với gần như toàn bộ 200 triệu USD bị đánh cắp. Sau vụ tấn công, Moonbeam đã chặn mọi người thực hiện giao dịch hoặc tương tác với hợp đồng thông minh. Nguyên nhân cốt lõi của cuộc tấn công là do lỗi cơ chế xác minh hợp đồng, cho phép khóa cá nhân hoặc logic chữ ký quyền bị giả mạo một cách dễ dàng.

2. Ankr
   Tháng 12 năm 2022, khóa cá nhân nút Ankr bị rò rỉ. Kẻ tấn công đã giả mạo hợp đồng và đúc vô hạn token aBNBc, gây thiệt hại khoảng 5 triệu USD. Phản hồi của Ankr: Khôi phục bảo mật và hợp tác với các Sàn giao dịch phi tập trung (DEX) để ngừng giao dịch; xây dựng và thực hiện kế hoạch bồi thường toàn diện cho cộng đồng; xác định cuộc tấn công được thực hiện bởi một cựu nhân viên. Ankr chính thức xác nhận nguyên nhân vụ tấn công là "khóa triển khai bị xâm phạm".

3. Platypus Finance
   Tháng 2 năm 2023, một kẻ tấn công đã khai thác lỗ hổng khóa cá nhân quản trị viên để tấn công nhóm stablecoin, đánh cắp khoảng 9 triệu USD USDC. Nhóm sau đó đã thu hồi được một phần tài sản và cho biết "khóa cá nhân nhà phát triển bị nghi ngờ bị xâm phạm từ bên ngoài".

4. Multichain
   Tháng 7 năm 2023, các thành viên cốt lõi của Multichain "mất liên lạc", và khóa cá nhân chính của dự án bị nghi ngờ nằm trong tay một cá nhân duy nhất. Sau đó, khoảng 126 triệu USD tài sản đã bị chuyển đi, biến nó thành một trong những sự cố tấn công dựa trên quyền lớn nhất trong lịch sử cầu nối chuỗi chéo.

5. Exactly Protocol
   Tháng 4 năm 2024, một kẻ tấn công đã sử dụng khóa triển khai bị rò rỉ từ máy chủ frontend để thay thế hợp đồng, đánh cắp khoảng 7,3 triệu USD. Sự việc đã phơi bày vấn đề phổ biến trong ngành về việc bảo quản khóa cá nhân yếu kém và an ninh quy trình DevOps.

6. UXLINK
   Tháng 9 năm 2025, hệ thống của công ty bảo mật Cyvers đã phát hiện các giao dịch đáng ngờ liên quan đến UXLINK trị giá 11,3 triệu USD, sau đó được xác nhận là trộm cắp. Yu Xian của MistTrack chỉ ra: Rất có thể một số khóa cá nhân liên quan đến ví đa chữ ký Safe của UXLINK đã bị rò rỉ. Vụ trộm UXLINK trực tiếp khiến giá token UXLINK giảm hơn 70%.