Khoảng 18 giờ 45 phút giờ UTC ngày 10/11/2026, kẻ tấn công giành quyền kiểm soát tên miền across.to của giao thức cầu nối chuỗi chéo Across bằng cách lừa đảo nhà đăng ký Namecheap, rồi thay trang chính thức bằng trang lừa ký phê duyệt để rút ví. Across lấy lại tên miền vào ngày 11/11 và hứa bồi thường đầy đủ cho người bị ảnh hưởng. Hợp đồng thông minh không bị tấn công; điểm yếu nằm ở khâu quản lý tên miền.
Dòng thời gian vụ việc
Theo The Block, Across nhận cảnh báo trong vòng 15 phút sau khi tên miền bị chiếm. Nhóm bảo mật tình nguyện SEAL911 nhanh chóng gắn cờ lừa đảo cho tên miền với các nhà cung cấp ví lớn. Cloudflare đánh dấu tên miền là có rủi ro rồi gỡ bản ghi DNS, khiến trang giả không còn truy cập được.
Ngay tối thứ Ba 10/11, Across cảnh báo người dùng tránh dùng ứng dụng giữa lúc có báo cáo ví bị rút. Sang thứ Tư 11/11, giao thức thông báo đã lấy lại tên miền và hệ thống hoạt động bình thường. Cointelegraph cho biết việc khôi phục có sự hỗ trợ của nhà sáng lập Namecheap Richard Kirkendall, và Across hứa công bố báo cáo phân tích sự cố đầy đủ trong những ngày tới.
Thiệt hại bao nhiêu
Across chưa công bố số người bị ảnh hưởng hay tổng thiệt hại. Công ty bảo mật GoPlus ước tính người dùng mất khoảng 350.000 USD, với các giao dịch rút trên Ethereum, Arbitrum, Base, BNB Chain, Ink và Plasma. Con số này nhỏ so với quy mô của giao thức: theo Cointelegraph, Across đứng thứ ba về khối lượng chuyển trong 30 ngày, khoảng 5,9 tỷ USD theo DefiLlama.
Across khẳng định mọi người dùng bị ảnh hưởng sẽ được bồi thường đầy đủ, còn các tích hợp bên thứ ba và người dùng qua API không bị ảnh hưởng. Những ai truy cập trang trước khi nó bị chặn hoàn toàn mới là nhóm có nguy cơ.
Chiếm tên miền khác gì hack giao thức
Trong DeFi, "giao thức" là các hợp đồng thông minh trên blockchain, còn trang web chỉ là giao diện để người dùng tương tác. Kẻ tấn công lần này không đụng vào hợp đồng. Chúng thuyết phục nhân viên nhà đăng ký chuyển quyền kiểm soát tên miền, sau đó trỏ tên miền thật về một trang do chúng dựng.
Người dùng gõ đúng địa chỉ, thấy đúng giao diện quen thuộc, nhưng lệnh mà ví yêu cầu ký lại là phê duyệt cho phép kẻ gian rút token. The Block mô tả trang giả lừa người dùng ký các lệnh phê duyệt token hoặc permit giả. Một khi đã ký, kẻ tấn công có thể rút tiền mà không cần thêm thao tác nào từ nạn nhân.
Điểm nguy hiểm là mọi dấu hiệu nhận diện thông thường đều "đúng": tên miền thật, chứng chỉ có thể được cấp mới, giao diện giống hệt. Lời khuyên "kiểm tra kỹ đường link" không đủ trong trường hợp này.
Khâu yếu: con người ở nhà đăng ký
Vụ Across nằm trong nhóm tấn công kỹ thuật xã hội, khi kẻ gian nhắm vào nhân viên hỗ trợ của nhà cung cấp dịch vụ thay vì nhắm thẳng vào nạn nhân. Một cuộc gọi hay một yêu cầu hỗ trợ được dàn dựng khéo có thể vượt qua mọi lớp bảo vệ kỹ thuật phía sau. Các nguyên tắc phòng vệ chung đã được bàn trong bài cảnh giác kỹ thuật tấn công tâm lý.
Dự án và doanh nghiệp nên khóa tên miền thế nào
Bài học không chỉ dành cho dự án tiền mã hóa. Bất kỳ doanh nghiệp nào có website nhận thanh toán hay đăng nhập đều có thể bị chiếm tên miền theo cách tương tự:
- Bật khóa ở cấp registry (registry lock) nếu đuôi tên miền hỗ trợ, để mọi thay đổi máy chủ tên phải qua xác minh thủ công nhiều bước.
- Bảo vệ tài khoản nhà đăng ký bằng khóa bảo mật vật lý hoặc passkey, không dùng tin nhắn SMS. Xem thêm về xác thực không mật khẩu.
- Đặt mã PIN hoặc câu hỏi riêng với bộ phận hỗ trợ, yêu cầu nhà cung cấp không thay đổi gì qua điện thoại hay chat nếu thiếu mã này.
- Giám sát DNS liên tục và cảnh báo khi bản ghi NS, A hoặc chứng chỉ mới xuất hiện bất thường.
- Có kịch bản phản ứng với danh bạ liên hệ khẩn cấp của nhà đăng ký, CDN và các nhóm như SEAL911.
Across phát hiện trong 15 phút, Cloudflare gỡ DNS nhanh, và thiệt hại dừng ở mức vài trăm nghìn USD. Tốc độ phản ứng như vậy không tự nhiên mà có; nó đến từ giám sát và quan hệ được chuẩn bị trước.
Người dùng ví nên làm gì
- Đọc kỹ nội dung giao dịch trước khi ký. Nếu bạn chỉ định chuyển cầu nối mà ví hiện yêu cầu "approve" hay "permit" cho một địa chỉ lạ với hạn mức không giới hạn, hãy dừng lại.
- Dùng ví có tính năng mô phỏng giao dịch, hiển thị trước tài sản sẽ ra khỏi ví.
- Định kỳ thu hồi phê duyệt cũ bằng công cụ quản lý allowance uy tín.
- Tách ví: ví nóng chứa số tiền nhỏ để tương tác với DeFi, ví cứng giữ phần lớn tài sản.
- Theo dõi kênh chính thức của dự án trên nhiều nền tảng; khi có sự cố, cảnh báo thường xuất hiện trên đó trước.
Bài viết mang tính giáo dục về an toàn, không phải lời khuyên tham gia hay đầu tư vào bất kỳ giao thức DeFi nào.
Vì sao giao diện web là mắt xích dễ bị nhắm
Hợp đồng thông minh của các giao thức lớn thường được kiểm toán nhiều vòng và chạy công khai trên chuỗi, nên tấn công trực tiếp ngày càng tốn kém. Trong khi đó, website, tên miền, DNS và tài khoản quản trị vẫn được vận hành như mọi doanh nghiệp internet khác, với nhân viên hỗ trợ, quy trình khôi phục mật khẩu và các ngoại lệ thủ công. Kẻ tấn công chọn đường ít kháng cự nhất.
Với người dùng, điều đó có nghĩa là độ an toàn của một dịch vụ phi tập trung vẫn phụ thuộc vào những thành phần rất tập trung. Một giao dịch trên chuỗi chỉ an toàn khi bạn hiểu mình đang ký điều gì, bất kể giao diện trông chính thống tới đâu. Hãy coi màn hình xác nhận của ví là nơi kiểm tra cuối cùng, chứ không phải trang web.
Cũng nên nhớ rằng sau mỗi sự cố lớn, kẻ gian thường lập thêm trang "kiểm tra ví bị ảnh hưởng" hay "nhận bồi thường". Chỉ làm theo hướng dẫn đăng trên tài khoản chính thức của dự án, đối chiếu qua nhiều kênh trước khi kết nối ví.
Câu hỏi thường gặp
Tôi đã vào across.to tối 10/11, giờ cần làm gì?
Kiểm tra lịch sử ví xem có ký lệnh phê duyệt hay permit lạ không, thu hồi các phê duyệt không nhận ra bằng công cụ quản lý allowance uy tín, và theo dõi thông báo bồi thường trên kênh chính thức của Across.
Hợp đồng thông minh của Across có bị hack không?
Theo các bài báo, thiệt hại đến từ việc người dùng ký phê duyệt trên trang giả, không phải lỗi hợp đồng thông minh. Across cũng cho biết các tích hợp bên thứ ba và người dùng API không bị ảnh hưởng.
Đánh dấu trang (bookmark) có giúp tránh kiểu tấn công này không?
Không hoàn toàn. Khi chính tên miền thật bị chiếm, bookmark vẫn dẫn tới trang giả. Bookmark chỉ chống được tên miền nhái; với vụ như Across, lớp bảo vệ là đọc kỹ nội dung giao dịch trước khi ký.
Lưu ý: Bài viết mang tính giáo dục, giúp bạn hiểu rủi ro và tự bảo vệ. Thế Giới Ngầm không hướng dẫn truy cập trái phép, mua bán hàng cấm hay bất kỳ hành vi vi phạm pháp luật nào.
