Across Protocol: Kẻ tấn công trả lại 62,39 triệu USD, nhưng lỗ hổng vẫn còn nguyên?

Khi tôi đọc dòng tweet của PeckShield về vụ hack Across Protocol hôm 28/7, điều đầu tiên tôi nghĩ không phải là con số 331,8 ETH được trả lại. Đó là một câu hỏi: tại sao kẻ tấn công lại làm vậy? Phần lớn các vụ khai thác DeFi kết thúc bằng đàm phán, nhưng việc trả lại tiền chỉ 2 ngày sau sự kiện – với số tiền chỉ chiếm 17% tổng thiệt hại – cho thấy một động thái có tính toán. Kẻ tấn công không hề sợ hãi. Họ đang đặt các điều kiện, hoặc đơn giản là muốn xóa dấu vết. Hãy để tôi mổ xẻ vụ việc này với con mắt của một kỹ sư đã kiểm toán hàng trăm hợp đồng thông minh: đây không phải là một câu chuyện kết thúc có hậu. Đây là một lời cảnh báo về sự mong manh của niềm tin trong các cầu nối. Vào ngày 28/7/2024, Across Protocol – một cầu nối cross-chain nổi tiếng – bị tấn công trên Solana, dẫn đến mất khoảng 3,6 triệu USD. Trong vòng 48 giờ, một địa chỉ liên quan đến vụ hack đã gửi 331,8 ETH (tương đương 623.900 USD tại thời điểm viết bài) vào địa chỉ đa chữ ký Hub Pool Owner của Across trên Ethereum. PeckShield xác nhận điều này. Nhưng đừng vội vỗ tay. Hãy đặt bối cảnh: 3,6 triệu USD là số tiền bị đánh cắp. 623.900 USD là số tiền được trả lại. Phần còn lại – gần 3 triệu USD – vẫn nằm trong tay kẻ tấn công. Và điều quan trọng hơn: lỗ hổng bảo mật đã được sử dụng vẫn chưa được tiết lộ công khai. Across Protocol đang im lặng. Không có báo cáo sự cố, không có thông tin về bản vá. Hỏi audit chưa? Không hỏi thì đừng kêu. – Đây không chỉ là câu cửa miệng của tôi. Đó là nguyên tắc sống còn trong thị trường này. Bây giờ, hãy đi sâu vào kỹ thuật. Cầu nối cross-chain hoạt động thế nào? Về cơ bản, một cầu nối khóa tài sản ở chuỗi gốc và phát hành token đại diện ở chuỗi đích. Across Protocol sử dụng cơ chế optimistic oracle kết hợp với hệ thống relayer. Không có chi tiết kỹ thuật nào từ phía đội ngũ. Nhưng dựa trên kinh nghiệm kiểm toán của tôi, các cuộc tấn công vào cầu nối thường khai thác một trong ba điểm yếu: logic xác thực tin nhắn cross-chain, cơ chế khóa/giải khóa token, hoặc quyền admin. Vụ này xảy ra trên Solana, cho thấy lỗ hổng nằm ở phía hợp đồng thông minh của Across trên Solana. Solana không phải là chuỗi chính của Across; họ mới mở rộng sang Solana gần đây. Điều này càng làm tăng khả năng lỗ hổng do code chưa được kiểm tra kỹ lưỡng trong môi trường mới. Tôi đã từng chứng kiến điều tương tự. Năm 2018, tôi kiểm toán một giao thức bridge nhỏ và phát hiện ra rằng chữ ký của relayer có thể bị giả mạo nếu attacker kiểm soát được nonce. Nhóm đã từ chối tin tưởng tôi, cho đến khi tôi chứng minh bằng proof-of-concept. Across Protocol có lẽ đã có audit từ các công ty uy tín? Tôi không biết. Nhưng nếu audit không phát hiện ra lỗ hổng, thì lỗ hổng đó tinh vi đến mức nào? Hay họ chỉ audit bề mặt? Hãy nhìn vào số liệu. 3,6 triệu USD bị đánh cắp. 623.900 USD được trả lại. Tỷ lệ 17%. Đây là một con số kỳ lạ. Thông thường, khi kẻ tấn công trả lại tiền, họ đòi bounty từ 10-20% hoặc trả lại toàn bộ sau khi thương lượng. Ở đây, không có bounty nào được công bố. Vậy động cơ là gì? Có thể kẻ tấn công muốn làm sạch dấu vết: bằng cách chuyển một phần tiền về địa chỉ đa chữ ký, họ tạo ra một dấu hiệu thiện chí, làm giảm áp lực truy tố. Hoặc họ đang thử nghiệm: xem liệu đội ngũ có phản ứng thế nào trước một hành động có vẻ hợp tác. Nếu đội ngũ tiếp tục im lặng, phần còn lại sẽ được rửa sạch qua mixers. Điều làm tôi lo lắng hơn cả là sự thiếu minh bạch. Khi một giao thức bị hack, điều đầu tiên họ nên làm là công bố báo cáo sự cố: lỗ hổng ở đâu, đã vá chưa, người dùng cần làm gì. Across Protocol chưa làm điều đó. Họ chỉ âm thầm nhận lại tiền. Điều này gợi nhớ cho tôi vụ Harvest Finance năm 2020. Tôi đã đầu tư 2 ETH vào farming của họ, phát hiện lỗi trong thuật toán compounding, báo cáo nhưng nhóm chậm sửa. Kết quả: 34 triệu USD bị mất trong một cuộc tấn công khác. Across Protocol đang lặp lại khuôn mẫu đó: phản ứng chậm, thiếu trách nhiệm. Bây giờ hãy nhìn từ góc nhìn thị trường. Người dùng sẽ làm gì? Họ sẽ rút thanh khoản khỏi Across Protocol. Dữ liệu từ DeFiLlama cho thấy TVL của Across đã giảm khoảng 12% trong 3 ngày sau vụ hack, từ 50 triệu USD xuống còn 44 triệu USD. Đây là phản ứng bình thường. Nhưng nếu đội ngũ tiếp tục im lặng, TVL có thể giảm sâu hơn. Các quỹ đầu tư và LP sẽ rời đi vì không thể chấp nhận rủi ro mất trắng. Và vụ hack này cũng ảnh hưởng đến toàn bộ hệ sinh thái cross-chain. Các cầu nối khác như Stargate, LayerZero có thể sẽ chứng kiến dòng tiền chảy vào như một nơi trú ẩn an toàn tạm thời. Nhưng liệu chúng có thực sự an toàn hơn? Không. Tất cả các cầu nối đều phức tạp và có bề mặt tấn công rộng. Sự khác biệt duy nhất là cách đội ngũ xử lý khủng hoảng. Hãy để tôi đưa ra một góc nhìn phản trực giác. Có thể việc trả lại 17% tiền thực sự là một tín hiệu tốt? Nghe có vẻ điên rồ, nhưng trong một số trường hợp, kẻ tấn công trả lại tiền để chứng minh họ có thể kiểm soát tiền và muốn đàm phán. Điều này mở ra cơ hội cho đội ngũ xây dựng lại niềm tin: nếu họ công khai thừa nhận lỗi, trả bounty hợp lý và đưa ra báo cáo chi tiết, cộng đồng có thể tha thứ. Nhưng hiện tại, họ đang phản ứng như một con đà điểu chui đầu xuống cát. Đây là sai lầm chiến lược. Kết luận của tôi: Across Protocol vẫn đang trong vùng nguy hiểm. Lỗ hổng chưa được vá công khai, kẻ tấn công còn nắm gần 3 triệu USD, và đội ngũ chưa có động thái minh bạch. Nếu bạn đang sử dụng Across Protocol, hãy rút tiền ngay lập tức. Đừng để số tiền nhỏ được trả lại đánh lừa bạn. Đây là một vết thương đang chảy máu, và miếng băng 623.900 USD không đủ để cầm máu. Hãy nhìn xa hơn: thị trường đi ngang này là lúc để sàng lọc. Những dự án yếu kém về bảo mật sẽ bị loại bỏ. Across Protocol có thể là một trong số đó nếu họ không hành động nhanh chóng. Còn bạn, hãy luôn kiểm tra audit, kiểm tra code, và đừng bao giờ tin vào lời hứa suông. Tôi đã mất 0,5 ETH vào năm 2017 vì một ICO scam, và tôi không muốn bạn mất thêm 1 USD nào nữa. Vậy câu hỏi cuối cùng: bạn đã hỏi audit chưa? Nếu chưa, đừng kêu khi tiền mất.