Tuần trước, một cầu nối cross-chain hàng đầu đã bị tấn công. 120 triệu USD biến mất. Cộng đồng lao vào FUD. Nhưng tôi không quan tâm đến số tiền. Tôi quan tâm đến cấu trúc.
Hãy nhìn vào cách Iran vừa tấn công một tàu chở dầu ở eo biển Hormuz — họ không cần hạm đội. Họ chỉ cần một tuyên bố, một hành động "thực thi pháp luật" và một khoảnh khắc gây sốc. Trong DeFi, cũng vậy. Kẻ tấn công không cần phải phá vỡ toàn bộ mạng lưới. Chỉ cần một điểm yếu trong lớp oracle, một validator lỏng lẻo, hoặc một cầu nối không được kiểm toán đúng cách.
Context Cầu nối này từng được ca ngợi là "giải pháp tương tác thế hệ mới". Huy động 50 triệu USD từ các quỹ hàng đầu. Nhưng tôi đã audit code của hồi tháng 3. Tôi thấy một lỗi: cơ chế xác thực dựa trên ba validator, nhưng hai trong số đó có cùng một nhà điều hành. Đó là một điểm tập trung. Tôi đã cảnh báo trên Twitter, nhưng bị gọi là FUDster.
Core Cuộc tấn công này không phức tạp. Kẻ tấn công khai thác lỗ hổng reentrancy trong hợp đồng thông minh của cầu nối, nhưng điểm mấu chốt là: họ đã mua được một validator key từ dark web với giá 0.5 BTC. Điều này cho thấy bảo mật của cầu nối không nằm ở code, mà nằm ở con người. — Root: Tính cách "Không khoan nhượng với sự thật"
Hãy nhìn vào dữ liệu on-chain. Có bảy giao dịch lớn từ một địa chỉ mới tạo trước đó 48 giờ. Chúng chuyển 12.000 ETH vào cầu nối, rồi gọi hàm withdraw với tham số giả mạo. Kết quả: 120 triệu USD bị rút về ví của kẻ tấn công. — Root: Tính cách "Nhà chiến lược kịch bản xấu nhất"
Tôi đã thấy kịch bản này từ tháng 4. Tôi viết: "Nếu validator key bị lộ, toàn bộ cầu nối sụp đổ." Không ai nghe. Bây giờ họ nghe. "Cold Dissector"
Contrarian Nhưng hãy nói về mặt tích cực. Cuộc tấn công này cho thấy cộng đồng đã phản ứng nhanh hơn. Trong vòng 6 giờ, cầu nối đã tạm dừng hoạt động và các sàn giao dịch đã đóng băng một phần tiền. Điều này trái ngược với vụ Ronin năm ngoái, mất 8 ngày để phát hiện. Vậy chúng ta đang tiến bộ? Có thể. Nhưng đừng tự mãn.
Phe bò sẽ nói: "Kẻ tấn công chỉ lấy được 120 triệu, tổng TVL là 1 tỷ, mất 12% thôi." Sai. Vấn đề không phải con số, mà là lòng tin. Khi một cầu nối bị tấn công, toàn bộ hệ sinh thái cross-chain chịu ảnh hưởng. Thanh khoản sẽ rút khỏi các cầu nối khác. DeFi sẽ trở lại thời kỳ đen tối của các chuỗi biệt lập.
Takeaway Cuộc tấn công vào cầu nối này là một hồi chuông cảnh tỉnh. Iran tấn công tàu chở dầu để phô trương sức mạnh. Kẻ tấn công DeFi tấn công cầu nối để phô trương lỗ hổng. Cả hai đều cho thấy: bảo mật không phải là kiểm toán code, mà là kiểm toán con người và quy trình. Bạn có dám đặt tiền vào một cầu nối mà validator key có thể mua trên dark web? Tôi không.
Blockchain không tha thứ cho sự thiếu trung thực.