Penpie bị hack, Pendle xử lý kịp thời và bài học cho nhà đầu tư

Penpie mất 27 triệu USD

Ngày 4/9 vừa qua Penpie đã bị tấn công dẫn đến tổng thiệt hại khoảng 27 triệu USD bao gồm các loại tài sản như rswETH, wstETH, agETH, và sUSDe. Các loại tài sản này sau đó được đổi sang 11,109 ETH qua LiFi DEX. Ví của hacker sau đó cũng gửi tài sản qua nhiều ví khác nhau, sau đó 95% tài sản được nạp lên Tornado Cash.

Nguyên nhân vụ hack được công ty bảo mật Peckshield phát hiện là do liên quan tới một hợp động thông minh độc được hacker triển khai có tác dụng làm gia tăng ảo số lượng token được stake trong Penpie, sau đó nhận phần thưởng một cách trái phép.

Tác động của vụ tấn công Penpie

Penpie chịu tổn thất trực tiếp sau vụ hack, Pendle dù đã phát hiện ra hợp đồng lạ nhưng không thể ngay lập tức ngăn chặn vụ hack. Pendle cho biết rằng nhờ những nỗ lực hợp tác từ nhiều bên, rủi ro đã được giảm thiểu và các hợp đồng của Pendle hiện đã được tạm dừng, sau đó trở lại hoạt động bình thường. Các khoản tiền trên nền tảng Pendle vẫn an toàn và không bị ảnh hưởng.

Các tài sản bị đánh cắp chỉ gây ra tác động nhỏ khi được bán ra trên các sàn DEX như Uniswap và Curve, wstETH và sUSDe gần như không lệch peg. Dù vậy, một số tài sản ít phổ biến hơn như rswETH đã depeg trên PancakeSwap, agETH  đã depeg trên đáng kể trên Balancer.

Sự cố này đã tác động đáng kể đến giá của các token của dự án bị ảnh hưởng. Token PNP của Penpie đã giảm hơn 33% ngay sau vụ hack, trong khi token PENDLE giảm khoảng 9% trong 24 giờ qua. Dù vậy, Pendle không bị ảnh hưởng và không có trách nhiệm trong vụ hack lần này.

Pendle đã ngay lập tức đưa ra hành động:

• Đảm bảo rằng Penpie đã tạm dừng hợp đồng.
• Liên hệ với các dự án thanh khoản PENDLE khác như Equilibria và StakeDAO để đảm bảo rằng họ không bị tấn công theo cùng một cách.
• Tạm dừng hợp đồng Pendle một cách an toàn.

Penpie vẫn đang dừng hoạt động, dự án đang sắp xếp và phối hợp với các bên liên quan để giảm nhẹ thiệt hại, danh tính của hacker vẫn chưa được xác định. Dự án nhiều khả năng sẽ đưa ra một khoản bounty để đổi lại sự hoàn trả của hacker.

Bài học cho nhà đầu tư

Penpie đang là dự án có thị phần cao nhất trong cuộc chiến dành quyền quản trị và tích trữ PENDLE - Pendle Wars. Các dự án này tạo ra một lớp layer tăng nhu cầu về yield nữa cho người dùng. Tuy vậy, việc có thêm các layer đồng nghĩa với việc có thêm rủi ro.

Trong đó, rủi ro counter party cụ thể là rủi ro hợp đồng thông minh là lớn nhất nhưng thường bị bỏ qua. Việc người dùng thêm thanh khoản sau đó thêm LP vào một smart contract nữa gia tăng thêm một lớp rủi ro, do đó cần đánh giá phần thưởng nhận lại có đáng đánh đổi với rủi ro thêm này không.

Pendle cũng đã phản ứng khá nhanh trong sự việc lần này, giúp cho Penpie và người dùng của nền tảng tránh khỏi việc mất thêm 105 triệu USD từ lỗ hổng hợp đồng thông minh. Dù vậy, đây cũng là hồi chuông cảnh tỉnh kịp thời để dự án nâng cấp bảo mật.