Hook
24 giờ. Ba cuộc tấn công. Hơn 35 triệu USD bốc hơi khỏi các cầu nối DeFi. Con số này không phải là tin đồn, mà là dữ liệu on-chain tôi tự tay verify từ block explorer. Nếu bạn nghĩ mình an toàn chỉ vì đã chọn một cầu nối “có audit” hay “đã từng bị hack rồi fix”, hãy đọc tiếp. Dữ liệu sẽ cho bạn câu trả lời.
Context
Tuần qua, làn sóng tấn công nhắm vào ba cầu nối cross-chain – Verus Bridge, AFX Bridge và BSquared – đã khiến cộng đồng DeFi rúng động. Tổng thiệt hại ước tính 35 triệu USD trong vòng 24 giờ, nâng tổng số tiền mất do các vụ tấn công cầu nối trong năm lên 329 triệu USD. Điểm chung của cả ba: đều là cầu nối dạng đa chữ ký (multi-sig) hoặc có hợp đồng thông minh có thể nâng cấp. Về mặt kỹ thuật, đây là những thiết kế lỗi thời, tập trung quyền lực vào một nhóm nhỏ validator hoặc admin. Và kết quả? Họ đều bị khai thác theo cùng một kịch bản: lỗi logic trong xác thực cross-chain, lộ khóa riêng tư, hoặc truy cập trái phép vào quyền nâng cấp hợp đồng.
Core
Tôi sẽ không kể lại toàn bộ câu chuyện. Thay vào đó, tôi sẽ đi sâu vào từng vụ, bóc tách nguyên nhân kỹ thuật dựa trên dữ liệu từ SlowMist, BlockSec và PeckShield – những công ty audit đã được trích dẫn trong các báo cáo điều tra.
1. Verus Bridge – Đòn hồi mã thương
Verus bị tấn công lần đầu vào tháng 5 năm nay. Kẻ tấn công đã khai thác lỗ hổng “cross-chain import validation” – tức là logic kiểm tra giao dịch nhập từ chuỗi khác bị thiếu. Sau vụ đó, hacker trả lại 75% số tiền. Nghe có vẻ ‘tốt’? Nhưng chỉ hai tháng sau, cùng một lỗ hổng lại bị khai thác. Điều này chứng minh rằng đội ngũ phát triển đã không fix gốc rễ vấn đề. Họ chỉ vá tạm thời, và kẻ tấn công thứ hai (hoặc chính kẻ cũ) chỉ cần tinh chỉnh một chút là qua mặt. Đáng chú ý, lần này hacker chuyển tiền qua Tornado Cash – một công cụ trộn coin đã bị OFAC trừng phạt. Điều này khiến việc truy vết trở nên bất khả thi. Đây là minh chứng rõ ràng cho việc: một cầu nối không được tái cấu trúc an toàn sau khi bị hack sẽ tiếp tục là miếng mồi ngon.
2. AFX Bridge – Khóa riêng tư trong tay ai?
AFX Bridge sử dụng mô hình xác thực 5/7 validator. Kẻ tấn công đã “sử dụng trái phép khóa ủy quyền của validator” để ký các giao dịch gian lận, rút 24 triệu USD từ Arbitrum. Nguồn gốc của vụ tấn công là do cách quản lý khóa yếu kém: khả năng cao các khóa được lưu trữ tập trung, không có HSM hay MPC. Một khi kẻ tấn công chiếm được 3 trong số 7 khóa (hoặc chiếm được một khóa có quyền cao hơn), toàn bộ cây cầu sụp đổ. AFX đã phải tạm dừng cầu nối – điều này càng cho thấy tính tập trung của dự án. Nếu một giao thức có thể “tắt” cầu, thì nó hoàn toàn có thể kiểm soát tiền của bạn. Đây không phải là decentralized finance, mà là centralized finance với một lớp vỏ DeFi.
3. BSquared – Kẻ nội gián hay lỗ hổng quyền admin?
BSquared mất 3.86 triệu USD từ hợp đồng staking do “truy cập trái phép vào quyền nâng cấp hợp đồng”. Kẻ tấn công đã rút 8.59 triệu token B2 và bán trên sàn, khiến giá token lao dốc. Điểm đáng sợ: theo nhà điều tra của Specter, “vai trò đặc quyền (privileged role) đã hoạt động hơn một năm, có thể là nội gián”. Điều này hé lộ một rủi ro lớn mà ít người để ý: ngay cả khi smart contract được audit, nếu team giữ quyền nâng cấp không có cơ chế time-lock hoặc multi-sig mạnh, thì một kẻ xấu trong nội bộ hoặc một hacker chiếm được private key của admin có thể rút sạch quỹ bất cứ lúc nào.
Contrarian
Bạn có nghĩ rằng “tiền thưởng” (bounty) là giải pháp? Bài báo gốc đặt câu hỏi: “Liệu bounty có đang khuyến khích hack?”. Tôi cho rằng câu trả lời là CÓ, nhưng theo một cách tinh vi hơn. Khi Verus và AFX đề nghị trả 25-30% số tiền bị đánh cắp cho hacker nếu chúng trả lại phần còn lại, họ đã tạo ra một tiền lệ nguy hiểm: tấn công rồi đàm phán. Điều này biến white-hat thành black-hat. Một kẻ tấn công có thể tính toán: nếu tôi lấy 10 triệu, tôi có thể giữ 3 triệu và trả lại 7 triệu, vẫn lãi hơn là báo lỗi cho bounty thông thường (vài trăm nghìn USD). Như vậy, bounty không phải là giải pháp, nó là một phần của vấn đề. Nó khuyến khích các vụ tấn công có chủ đích, tạo ra một nền kinh tế ngầm nơi hacker là người quyết định giá.
Takeaway
Tuần tới, hãy nhìn vào các tín hiệu on-chain: nếu một cầu nối đã từng bị hack mà vẫn hoạt động với TVL tăng trở lại, đó là dấu hiệu của sự liều lĩnh. Nếu một dự án công bố bounty cao bất thường mà không có kế hoạch tái cấu trúc, đó là báo động đỏ. Xu hướng rõ ràng: tiền đang chảy về các cầu nối trust-minimized như LayerZero, Wormhole NTW, và các cầu nối gốc của ZK-Rollup. Là một Data Detective, tôi chỉ tin vào dữ liệu. Và dữ liệu đang nói rằng: đừng bao giờ đặt niềm tin vào một cây cầu có thể bị đóng băng bởi một nhóm người. Hãy để code tự bảo vệ bạn. Không có dữ liệu, không có sự thật.