Từ hai vault cho vay của giao thức Affluent trên mạng TON — TON Lending Vault và USDT Lending Vault — từ ngày 30 tháng 9 đến ngày 16 tháng 10, khoảng 782 nghìn Gram và 13,8 nghìn USDT đã bị rút ra, tương đương khoảng 1,17 triệu USD theo tỷ giá tại thời điểm rút. Các nhà đầu tư của những vault này không thể rút tiền: ví của USDT Lending Vault chỉ còn 0,5 USDT vào ngày 4 tháng 11, ví của TON Lending Vault còn 82,8 Gram, và không có khoản thanh toán nào cho các vị thế còn lại. Affluent chưa đưa ra bất kỳ tuyên bố công khai, báo cáo về sự cố hay kế hoạch bồi thường nào.
Những người nắm giữ share token affTONl (42 địa chỉ vào ngày 4 tháng 11), affUSDTl (81 địa chỉ) và affUSDTm (70 địa chỉ) đã bị ảnh hưởng.
Tiền của nhà đầu tư ra sao?
| Vault | Share token | Tình trạng vào ngày 4 tháng 11 |
|---|---|---|
| TON Lending Vault | affTONl | trên ví còn 82,8 Gram; trong ứng dụng hiển thị 136.606 USD trong các pool; không thể nạp và rút |
| USDT Lending Vault | affUSDTl | trên ví còn 0,5 USDT; khoảng 17,1 nghìn USDT được ghi nhận trong các pool của vault; không thể nạp và rút |
| USDT Multiply Vault | affUSDTm | khoảng 197 nghìn USD tài sản, chức năng nạp và rút đã tắt, có 3 yêu cầu rút 113.076 USDT đang chờ xử lý |
| Ethena Vault, Gold Multiply Vault, Sentora Vault, GRAM Multiply Vault | — | trong ứng dụng hiển thị 274 nghìn USD, 239 nghìn USD, 533 nghìn USD và 643 nghìn USD tài sản |
Trong dữ liệu của cả hai vault cho vay, phí tối thiểu cho việc nạp và rút đã được đặt ở mức 10 tỷ Gram, nghĩa là các hoạt động này thực tế đã bị đóng. Trên giấy tờ, chúng vẫn có các vị thế trong các lending pool — khoảng 108 nghìn Gram và 17,1 nghìn USDT — nhưng kể từ ngày 19 tháng 10, không có khoản burning share token nào mang lại thanh toán cho chúng. Trong thẻ USDT Lending Vault trên trang app.affluent.org/earn, Net Asset được ghi nhận khoảng 999 tỷ USD — đây là hậu quả của một trường dữ liệu bị lỗi trong hợp đồng, chứ không phải là số tiền thực tế.
Giá của share token affUSDTl vào ngày 7 tháng 10 là 1,068 USDT: trong giao dịch, 5.000 share token đã được thanh toán 5.340,12 USDT. Sau ngày 16 tháng 10, share token này có giá khoảng 0,0000032 USDT: vào ngày 19 tháng 10, 466.366.695 share token đã được thanh toán 1.500,95 USDT.
Các vault hoạt động như thế nào
Affluent, trước đây gọi là Factorial Finance, là một giao thức cho vay trên TON: trang web affluent.org, ứng dụng app.affluent.org. Vault chấp nhận tiền gửi và phân bổ chúng vào các lending pool riêng của Affluent, đồng thời phát hành share token cho nhà đầu tư. Share token tăng giá khi các pool kiếm được lãi; khi rút tiền, share token bị burning và nhà đầu tư nhận được phần tài sản của mình trong vault.
Hợp đồng vault đồng thời phát hành share token: địa chỉ của vault cũng chính là master-contract của share token affUSDTl hoặc affTONl. Do đó, việc minting share token thừa và rút tiền là cùng một hoạt động.
Tiền đã bị rút ra như thế nào
Theo các giao dịch, điều sau đây đã xảy ra. Lending pool của Affluent đã chấp nhận một thông báo giả mạo về việc nhận token thay vì thông báo thật và chuyển nó cho vault, sau đó vault đã minting share token mà không có bất kỳ khoản tiền gửi nào. Sau đó, những share token này đã bị burning, và vault đã thanh toán Gram và USDT thật của nhà đầu tư cho chúng. Cả Affluent lẫn kiểm toán viên đều không giải thích nguyên nhân.
| Ngày (UTC) | Điều gì đã xảy ra | Đã nhận |
|---|---|---|
| 30 tháng 9, 04:36–05:21 | minting 3.556.217 affTONl, 45 lần burning | ≈505 nghìn Gram |
| 12 tháng 10, 10:02–10:21 | 24 lần burning affTONl bởi cùng một ví | ≈126,8 nghìn Gram |
| 16 tháng 10, 20:36–20:48 | minting 10 tỷ affUSDTl và 10 triệu affTONl, burning share token | 13.824,93 USDT và 150.041 Gram |
Tổng cộng, các vault đã thanh toán khoảng 781,6 nghìn Gram và 13,8 nghìn USDT. Theo tỷ giá Gram vào giờ của mỗi đợt rút (1,52 USD, 1,42 USD và 1,35 USD), tổng cộng khoảng 1,17 triệu USD; theo tỷ giá ngày 4 tháng 11 (1,18 USD) — khoảng 0,93 triệu USD. Ngay sau khi rút, số tiền này đã được chuyển đến các địa chỉ khác: vào ngày 30 tháng 9, 504,8 nghìn Gram đã được chuyển một lần, vào ngày 16 tháng 10, 12.824 USDT đã được gửi đến bridge Symbiosis.
Từ ngày 19 tháng 10 đến ngày 4 tháng 11, việc minting và burning đã được lặp lại từ sáu ví mới, và vào ngày 3 tháng 11 — từ cả hai ví ban đầu, nhưng không nhận được thêm khoản thanh toán nào. Các lần minting cuối cùng như vậy diễn ra vào ngày 4 tháng 11 lúc 00:05 và 00:07 UTC, điều này có nghĩa là lỗ hổng trong các hợp đồng vẫn chưa được khắc phục tính đến ngày này.
Ai đã báo cáo về việc này và dự án đã phản hồi ra sao
Phân tích ba đợt rút — với các hash giao dịch của đợt ngày 16 tháng 10 — đã được công bố vào ngày 19 tháng 10, một cuộc điều tra độc lập, trong đó thiệt hại được ước tính là "~1,1 triệu USD", đã được phát hành vào ngày 28 tháng 10. Theo lời của tác giả cuộc điều tra, vào ngày 19 tháng 10, các thành viên cộng đồng đã chuyển những phát hiện này cho đội ngũ Affluent, nhưng không có báo cáo công khai hay kế hoạch bồi thường nào được đưa ra.
Tính đến ngày 4 tháng 11, trang web và ứng dụng Affluent vẫn hoạt động; không có tuyên bố nào về sự cố trên trang web, trong tài liệu, hay trong các bài đăng công khai của tài khoản @AffluentOrg, và liên kết đến kênh Telegram của dự án từ trang web mở ra một thẻ trống không có nội dung.
Đây không phải là trường hợp duy nhất như vậy trên TON vào mùa thu này: vào cuối tháng 10, các khoản rút bất thường đã diễn ra từ bridge BabyDoge.
Câu hỏi
Có thể rút tiền từ Affluent không?
Từ TON Lending Vault và USDT Lending Vault — không: trên ví của các vault gần như không còn gì, không có khoản thanh toán nào cho các vị thế trong pool, và phí giao dịch đã được đặt ở mức cấm. Trong USDT Multiply Vault, chức năng rút tiền đã tắt, các yêu cầu đang chờ xử lý. Các vault khác trong ứng dụng vẫn hiển thị tài sản.
Bao nhiêu tiền đã bị rút từ các vault của Affluent?
Khoảng 781,6 nghìn Gram và 13,8 nghìn USDT trong ba đợt vào ngày 30 tháng 9, 12 và 16 tháng 10 — tương đương khoảng 1,17 triệu USD theo tỷ giá tại thời điểm rút.
