WEMIX tạm dừng dịch vụ sau khi 5,2 triệu stablecoin WEMIX$ bị "in" trái phép do hợp đồng bị chiếm quyền sở hữu

Nhóm WEMIX cho biết quyền sở hữu một hợp đồng liên quan đến stablecoin WEMIX$ đã bị xâm nhập, tạo điều kiện để phát hành trái phép khoảng 5,23 triệu token. Sự cố buộc dự án phải tạm dừng các cầu nối, pool thanh khoản và nhiều dịch vụ trên mạng WEMIX3.0. Theo whitepaper WEMIX3.0, WEMIX$ được thiết kế theo cơ chế neo 1:1, được bảo chứng 100% bằng USDC lưu giữ trong Treasury; tổng cung WEMIX$ theo lý thuyết phải luôn tương ứng với lượng USDC trong Treasury. Tài liệu cũng nêu quyền mint chỉ được mở qua "Authorized Mint Access" và chỉ giao cho giao thức ổn định DIOS. Trong cập nhật sơ bộ, WEMIX cho biết các giao dịch bất thường bắt đầu lúc 18:17 ngày 26/7 (UTC+9), tương đương 09:17 UTC, sau khi quyền sở hữu một hợp đồng liên quan WEMIX$ bị chiếm đoạt. Tổng hợp các thông tin này cho thấy kẻ tấn công đã lợi dụng quyền kiểm soát cấp chủ sở hữu để tạo token ngoài quy trình mint được mô tả trong whitepaper. WEMIX chưa công bố chính xác con đường dẫn tới việc bị chiếm quyền kiểm soát, đồng thời cũng không khẳng định lượng USDC.e mà kẻ tấn công di chuyển sau đó đến trực tiếp từ Treasury. WEMIX cho biết 5.225.525 WEMIX$ phát hành trái phép đã được chuyển đổi thành 30.736 WEMIX (token gốc của mạng) và 724.198,27 USDC.e (stablecoin dạng bridge sử dụng trên WEMIX3.0). Dự án nói rõ số USDC.e sau chuyển đổi đã được bridge sang Ethereum và BNB Smart Chain, hoán đổi sang các tài sản gồm ETH và USDT, rồi phân tán qua nhiều địa chỉ; một phần sau đó được nạp lên các sàn giao dịch tập trung. Con số token bị mint không đồng nghĩa chắc chắn thiệt hại ở mức 5,23 triệu USD. WEMIX chưa đưa ra ước tính thiệt hại cuối cùng và cũng chưa nêu tên các sàn liên quan. Dự án cho biết một số sàn đã đóng băng các địa chỉ liên quan kẻ tấn công sau khi nhận được đề nghị phối hợp, nhưng không công bố số tiền bị phong tỏa và cũng chưa xác nhận liệu số dư người dùng có bị ảnh hưởng hay không. Biện pháp khoanh vùng đã mở rộng sang cầu nối, giao dịch, game và NFT. Thông báo ngày 26/7 của WEMIX liệt kê toàn bộ các cầu nối ra/vào WEMIX3.0 đều bị tạm dừng, bao gồm tuyến Chainlink CCIP và PLAY Bridge. WEMIX không quy trách nhiệm cho Chainlink và cũng không báo cáo lỗi từ CCIP. WEMIX đồng thời tạm ngừng giao dịch ở các pool WEMIX"USDC.e", WEMIX"WEMIX$", CROW"WEMIX$", TIPO"WEMIX$" và PLAY"WEMIX$". WEMIX$ Module và sàn PNIX DEX bị pause; một số tính năng liên kết blockchain trong game bị hạn chế; hoạt động mua bán và đặt giá trên marketplace NFT cũng bị vô hiệu hóa. Động thái này diễn ra trong bối cảnh WEMIX từng thông báo vào tháng 9/2025 rằng sẽ dần loại bỏ WEMIX$ để chuyển sang USDC.e, đồng thời vẫn duy trì kênh chuyển đổi thông qua WEMIX$ Module. Dịch vụ Module này cũng nằm trong danh sách bị tạm dừng theo cập nhật ngày 26/7. WEMIX chưa đưa ra lịch khôi phục. Khi nguyên nhân chưa được làm rõ, mức tác động cuối cùng, lượng tài sản bị đóng băng và khả năng phát sinh thiệt hại với người dùng vẫn phụ thuộc vào các kết luận tiếp theo của WEMIX.