Tháng 5/2026 tiếp tục chứng kiến nhiều vụ exploit nhắm vào cross-chain bridge và DeFi protocol, với Verus-Ethereum bridge và THORChain là hai ví dụ nổi bật nhất.
1. Verus-Ethereum Bridge Hack (18/5/2026)
- Thiệt hại: Khoảng 11.58 – 11.6 triệu USD.
Tài sản bị drain: 103.6 $BTC tBTC, 1.625 $ETH , ~147.000 USDC (sau đó swap thành ~5.402 ETH).
- Cơ chế: Attacker giả mạo cross-chain transfer message (forged message), khai thác lỗ hổng validation trên bridge. Không có kiểm tra xác thực đầy đủ nên bridge tự động chuyển tài sản từ reserve ra ví attacker
- Tình trạng: Exploit vẫn đang active khi được phát hiện bởi Blockaid và PeckShield. Attacker chuẩn bị qua Tornado Cash trước đó vài giờ.
2. THORChain (THORSwap/Asgard Vault) Exploit (15/5/2026)
- Thiệt hại: Khoảng 10 – 10.8 triệu USD (một số báo cáo ban đầu ~7.4M, sau cập nhật lên cao hơn).
- Tài sản: 36.75 BTC (~3M USD) + ~7M USD các token EVM (USDT, USDC, WBTC, DAI… trên Ethereum, BSC, Base, Avalanche, DOGE, Litecoin, Bitcoin Cash, XRP).
- Cơ chế: Malicious node (mới churned) khai thác Asgard vaults, thực hiện unauthorized outbound transactions trên ít nhất 9 chain cùng lúc. Nghi ngờ liên quan đến threshold signature scheme (GG20).
- Tình trạng: THORChain ngay lập tức halt trading để bảo vệ các vault còn lại. Đội ngũ xác nhận exploit, mở compensation portal ~10M USD cho victim (không phải toàn bộ loss). RUNE dump mạnh ~12-15%.
=> Đây là vụ lớn thứ 2 của THORChain trong năm (trước đó có incident nhỏ hơn năm 2025).
3. Các vụ hack nhỏ hơn khác trong tháng 5/2026 (theo DefiLlama hacks database )
*Những vụ này nhỏ hơn nhưng vẫn đáng chú ý vì diễn ra liên tục:
- TrustedVolumes (7/5): ~6.7 triệu USD – Forged RFQ orders (protocol logic).
- Ekubo (5/5): 1.4 triệu USD – Improper access control.
- Renegade (10/5): 209K USD – Unprotected initializer.
- INK Finance (11/5): 140K USD – Whitelisted address impersonation.
- SmartCredit (4/5): 72K USD – Flashloan exploit.
- SharwaFinance (1/5): ~33K USD – Oracle price manipulation.
=> Hầu hết các vụ gần đây đều khai thác bridge/cross-chain messaging (forged message, validation bypass) hoặc operational compromise (malicious node, social engineering). Bridge vẫn là “điểm yếu chí mạng” của DeFi.
=> Các bác hết sức lưu ý khi sử dụng các bridge nhé!