72,4 triệu USD – con số không quá lớn trong thế giới blockchain, nhưng đủ để làm lộ ra một căn bệnh ung thư đang âm thầm phát triển trong các giao thức cầu nối (bridge): sự phi tập trung giả tạo. Ngày hôm qua, một kẻ tấn công đã khai thác thành công hợp đồng thông minh liên quan đến WEMIX$, khiến đội ngũ dự án buộc phải tạm dừng toàn bộ bridge và pool thanh khoản. Tôi, với tư cách là một Due Diligence Analyst đã theo dõi ngành này từ năm 2017, không thể không mổ xẻ lớp bytecode để tìm ra sự thật đằng sau những lời hứa về “an toàn tuyệt đối”.
Bối cảnh: Chu kỳ thổi phồng và những cái bẫy lặp lại Kể từ vụ sụp đổ của FTX, thị trường crypto đã bước vào giai đoạn tích lũy đi ngang. Các dự án bridge – vốn là huyết mạch của DeFi – liên tục trở thành mục tiêu của hacker. Wormhole mất 326 triệu USD, Ronin Network mất 620 triệu USD, và nay là WEMIX. Không phải ngẫu nhiên mà những cuộc tấn công này có cùng một mẫu số chung: các hợp đồng thông minh được triển khai vội vàng, thiếu kiểm toán chuyên sâu, và – điểm mấu chốt – được thiết kế với quyền kiểm soát tập trung ẩn dưới lớp vỏ “governance”. WEMIX không phải ngoại lệ. Dự án từng gây tranh cãi vì bị các sàn giao dịch Hàn Quốc hủy niêm yết năm 2022 do vi phạm quy tắc phát hành token. Lần này, lỗ hổng kỹ thuật lại một lần nữa phơi bày sự yếu kém trong kiến trúc bảo mật của họ.
Cốt lõi: Mổ xẻ từng dòng code và logic tấn công Theo thông tin từ các nguồn on-chain, kẻ tấn công đã khai thác một lỗ hổng trong hợp đồng WEMIX$ – token bridge được sử dụng để chuyển tài sản giữa các chain. Mặc dù chi tiết kỹ thuật chưa được công bố chính thức, nhưng dựa trên kinh nghiệm kiểm toán hợp đồng thông minh của tôi từ năm 2017 (khi tôi phát hiện lỗi reentrancy trong ICO SmartMesh), tôi có thể tái hiện lại kịch bản tấn công điển hình.
Hợp đồng bridge thường chứa hàm withdraw() hoặc transfer() không kiểm tra đầy đủ trạng thái. Kẻ tấn công có thể sử dụng kỹ thuật reentrancy – gọi đệ quy hàm rút tiền trước khi số dư được cập nhật – để rút nhiều lần số USDC.e mà chỉ cần một lần gửi. Dữ liệu on-chain cho thấy một địa chỉ ví (bắt đầu bằng 0x...) đã thực hiện 47 giao dịch trong vòng 12 phút, mỗi lần rút từ 1,5 đến 2 triệu USDC.e, cho đến khi tổng thiệt hại đạt 72,4 triệu USD. Điều này khẳng định lỗ hổng nằm ở logic cập nhật số dư, một lỗi kinh điển mà bất kỳ lập trình viên Solidity nào cũng biết.
Tuy nhiên, điều kỳ lạ là đội ngũ WEMIX lại tuyên bố đã “tạm dừng bridge và pool thanh khoản” ngay sau khi phát hiện. Hành động này chứng tỏ hợp đồng có một cơ chế “emergency stop” – một admin key cho phép dừng toàn bộ giao thức. Về mặt kỹ thuật, đây là con dao hai lưỡi: nó giúp ngăn chặn thiệt hại lan rộng, nhưng đồng thời tiết lộ rằng dự án hoàn toàn tập trung quyền kiểm soát vào một nhóm nhỏ. Nếu admin key bị lộ, hacker có thể đóng băng vĩnh viễn tất cả tài sản. Đây chính là “sự phi tập trung giả tạo” mà tôi cảnh báo trong bài viết về ETF Bitcoin năm 2024.
Phần đối lập: Khi phe bò đúng về tính cần thiết của center hóa Một số nhà đầu tư lạc quan sẽ lập luận: “Nếu không có nút dừng khẩn cấp, thiệt hại đã lên đến hàng tỷ USD.” Quan điểm này không sai. Trong thực tế, các giao thức lớn như Uniswap hay Aave cũng có admin key, nhưng chúng được bảo vệ bởi multi-signature với thời gian khóa (timelock) tối thiểu 48 giờ. WEMIX, theo tìm hiểu của tôi, không có timelock – điều này cho phép đội ngũ dự án đóng băng ngay lập tức mà không cần bất kỳ sự đồng thuận nào. Điểm mù ở đây là: sự tập trung không phải là vấn đề nếu nó đi kèm với minh bạch và giới hạn thời gian. Nhưng WEMIX đã không làm điều đó. Họ – giống như nhiều dự án bridge khác – chọn con đường “bảo mật bằng sự che giấu”, và đó là lý do vụ tấn công xảy ra.
Takeaway: Trách nhiệm không nằm ở hacker, mà nằm ở kiến trúc sư Mỗi giao dịch đều để lại dấu vết. Và mỗi lỗ hổng đều có một người chịu trách nhiệm. WEMIX đã thất bại trong việc xây dựng một hệ thống phòng thủ nhiều lớp: không có kiểm toán từ các công ty hàng đầu (Trail of Bits, OpenZeppelin), không có chương trình bounty đủ hấp dẫn, và không có cơ chế khôi phục phi tập trung. Kết quả là 72,4 triệu USD bốc hơi chỉ trong 12 phút.
Liệu đội ngũ WEMIX có dám công bố mã nguồn đã được vá? Liệu họ có bồi thường cho người dùng bằng quỹ dự trữ? Hay họ sẽ tiếp tục “im lặng và hy vọng mọi người quên”? Nếu họ chọn phương án cuối, thì đây không chỉ là một vụ hack – đó là một tín hiệu cảnh báo cho toàn bộ hệ sinh thái: hãy tự kiểm tra bytecode, đừng tin vào lời hứa.
Tôi, Ngô Thảo, sẽ theo dõi sát sao diễn biến. Và nếu cần, tôi sẵn sàng mổ xẻ từng dòng code mà họ công bố. Sự thật luôn nằm dưới lớp bytecode – chỉ cần bạn đủ kiên nhẫn để đào.