Hôm nay, một cây cầu nối cross-chain vừa mất 50 triệu USD. Kẻ tấn công chỉ dùng một giao dịch, một dòng code lỗi. Tôi đã thấy điều này từ năm 2017 – khi tôi 25 tuổi, kiểm toán ICO TokenBox. Tôi báo lỗi reentrancy, team lead cười. Họ bảo “chưa từng xảy ra”. Ba tháng sau, họ mất 12.000 ETH. Đếm sai một, mất cả kho.
Bối cảnh: chu kỳ tăng giá. TVL trên các cầu nối đạt đỉnh mới – hơn 30 tỷ USD. Người dùng FOMO chuyển tài sản qua các chain lạ. Dự án vội vàng ra mắt, audit report in đẹp nhưng code kiểm tra sơ sài. Thị trường tăng che giấu lỗi kỹ thuật. Khi mọi người nhìn vào APY, tôi nhìn vào storage slot.
Core: Phân tích kỹ thuật vụ tấn công hôm nay. Cầu nối X sử dụng hợp đồng thông minh với hàm withdraw không có reentrancy guard. Kẻ tấn công gọi flashLoan để lấy 10 triệu USD làm đòn bẩy. Sau đó gọi withdraw nhiều lần trước khi cập nhật số dư. Kết quả: rút 50 triệu từ pool chỉ với 2 triệu tiền thật. Oracle cũng bị thao túng – TWAP trên pool thanh khoản mỏng dễ dàng bị kéo. Tôi đã cảnh báo điều này từ mùa hè DeFi 2020: “nếu thanh khoản thấp, oracle sẽ chết”. Dự án Yam Finance fork từng mất 300 ETH vì lý do tương tự. Lần này, người dùng mất nhiều hơn.
Contrarian: Phe bò sẽ nói “audit đã được thực hiện, lỗi đã được vá”. Sai. Audit chỉ là ảnh chụp tại một thời điểm. Hợp đồng cầu nối thay đổi – thêm tính năng mới, nâng cấp proxy, thay oracle. Mỗi lần thay đổi là một lần kiểm toán mới, nhưng team thường skip. Tôi từng kiểm toán một NFT marketplace – RareBits – chỉ thấy lỗi metadata bị sửa sau mint. Họ vá, nhưng hai bộ sưu tập khác đã rug. Metadata lỗi – niềm tin sập. Với cầu nối, code lỗi – tiền bay.
Takeaway: Trong thị trường tăng, đừng tin vào audit stamp. Hãy tự đọc diff. Hãy kiểm tra reentrancy guard. Nếu không, bạn chỉ là người cuối cùng trong vòng xoáy thanh lý. ICO ảo – kỹ thuật thật. Cầu nối đổ – bài học cũ, nhưng chưa bao giờ cũ.
