Một tuần, ba cây cầu sập: Phân tích kỹ thuật từ bên trong cuộc tấn công Across, Allbridge và TeleSwap

Tuần trước, tôi ngồi trước ba màn hình, nhìn ba dự án cross-chain lần lượt đổ sập trong vòng bảy ngày. 570.000 USD bốc hơi khỏi Across Protocol. 570.000 USD nữa từ Allbridge Core. Và hơn 4,5 triệu USD từ TeleSwap. Tổng cộng 5,7 triệu USD — một con số không lớn so với các vụ hack DeFi kỷ lục, nhưng điều làm tôi giật mình là tần suất. Ba cây cầu, ba kiểu tấn công khác nhau, cùng nhắm vào một điểm yếu cốt lõi: niềm tin mù quáng vào mã nguồn mà không hiểu kiến trúc bên dưới. Hãy bắt đầu với Across Protocol. Khi tôi đọc thông báo chính thức vào ngày 4 tháng 7, điều đầu tiên tôi chú ý không phải là số tiền mất — mà là dòng chữ: "chỉ có người chuyển tiếp (relayer) mất tiền, người dùng an toàn". Là một người đã từng kiểm tra hợp đồng thông minh của Tezos và phát hiện bốn lỗi logic, tôi biết ngay đó là một tuyên bố kỹ thuật nguy hiểm. Nó ngụ ý rằng hệ thống relayer của Across có một lỗ hổng ở phía Solana, nơi mà các giao dịch cross-chain được xác thực. Kẻ tấn công đã khai thác lỗ hổng đó để tạo ra các bằng chứng giả mạo, khiến relayer tin rằng một khoản tiền đã được gửi từ Solana sang EVM, nhưng thực tế không phải vậy. Số tiền 570.000 USD sau đó được chuyển qua Tornado Cash và sàn FixedFloat để che dấu vết — một dấu hiệu rõ ràng của kẻ tấn công chuyên nghiệp, có hiểu biết về quyền riêng tư trên chuỗi. Tiếp theo là Allbridge Core. Ở đây không có lỗi relayer, mà là một cuộc tấn công thao túng giá bằng flash loan cổ điển. Vào ngày 2 tháng 7, kẻ tấn công vay một khoản khổng lồ từ các pool thanh khoản trên Solana, sau đó đẩy giá của một cặp token lên cao, tạo ra sự chênh lệch giữa pool Allbridge và sàn giao dịch bên ngoài. Chúng đúc ra stablecoin giá trị cao từ sự chênh lệch đó, rút tiền và trả nợ flash loan — tất cả trong một giao dịch duy nhất. Allbridge Core, được quảng bá như một cây cầu ổn định với thanh khoản một chiều, đã thất bại trong việc bảo vệ giá pool. Tôi đã thấy kịch bản này lặp lại nhiều lần trong suốt sự nghiệp trading của mình: khi một giao thức không có cơ chế chống trượt giá (slippage protection) hoặc kiểm tra giá chéo, flash loan sẽ xé nát nó. Điều buồn cười là Allbridge sau đó yêu cầu những người hưởng lợi từ "cánh cửa chênh lệch" trả lại tiền — một cách xử lý xã hội thay vì khắc phục lỗi kỹ thuật. Cuối cùng, TeleSwap. Đây là vụ lớn nhất: 4,5 triệu USD biến mất khỏi ví nóng Bitcoin của họ. ZachXBT, thám tử on-chain nổi tiếng, đã tung ra một thread chứng minh rằng ví nóng của TeleSwap ngừng xử lý giao dịch và sau đó có các luồng tiền khả nghi. Không có hợp đồng thông minh nào bị tấn công — đây là một vụ rò rỉ private key thuần túy, hoặc một cuộc tấn công nội bộ. Điều làm tôi bức xúc không chỉ là mất tiền, mà là phản ứng của đội ngũ: năm ngày sau vụ việc, họ vẫn chưa đưa ra bất kỳ tuyên bố công khai nào. Một cây cầu Bitcoin nhưng lại dùng ví nóng tập trung, không có multisig, không có bảo vệ — và sau đó im lặng. Đây là định nghĩa của sự thiếu trách nhiệm trong crypto. Bây giờ, hãy nhìn vào bức tranh lớn. Từ đầu năm 2023 đến nay, đã có 20 cuộc tấn công nhắm vào các cầu cross-chain, tổng thiệt hại hơn 355 triệu USD. Trong bài phân tích này, tôi sẽ chỉ ra điều mà nhiều người bỏ lỡ: những cuộc tấn công này không phải là ngẫu nhiên, chúng tiết lộ một mô hình thiết kế có hệ thống thất bại. Bắt đầu với Across. Lỗ hổng nằm ở lớp xác thực thông điệp trên Solana. Các cầu cross-chain dùng cơ chế "lock-and-mint" hoặc "burn-and-mint" — nhưng Across sử dụng mô hình relayer: người dùng gửi tài sản trên chuỗi A, relayer tạm ứng tiền trên chuỗi B, sau đó được hoàn trả từ pool thanh khoản. Vấn đề ở đây là relayer phải tin vào bằng chứng gửi tiền từ chuỗi A. Nếu kẻ tấn công có thể giả mạo bằng chứng đó trên Solana (nơi có mô hình đồng thuận khác với EVM), relayer sẽ trả tiền cho một giao dịch không tồn tại. Điều này xảy ra vì Across không kiểm tra đủ sâu tính hợp lệ của bằng chứng Merkle trên Solana. Tôi từng viết một bài phân tích về lỗ hổng hợp đồng thông minh vào năm 2017, và tôi có thể khẳng định: lỗi này thuộc về kiến trúc, không phải lỗi code thông thường. Để sửa, Across phải thay đổi cách nó xác thực thông điệp cross-chain — có thể chuyển sang dùng zk-proof hoặc oracle tập trung — nhưng điều đó sẽ làm mất đi tính phi tập trung mà họ quảng bá. Allbridge, mặt khác, mắc phải lỗi thiết kế liquidity pool mà tôi gọi là "sự phụ thuộc tuyến tính vào giá oracle". Trong mô hình Allbridge Core, khi người dùng swap, giá được tính dựa trên công thức AMM đơn giản, không có tham chiếu chéo từ các sàn khác. Flash loan cho phép kẻ tấn công thay đổi giá pool trong một block, tạo ra cơ hội arbitrage giả. Nếu Allbridge sử dụng một oracle như Chainlink để làm giá tham chiếu, hoặc ít nhất áp đặt một giới hạn trượt giá tối đa, cuộc tấn công đã không thể xảy ra. Tôi đã xây dựng bot arbitrage cho Uniswap và Curve vào năm 2020, và tôi hiểu rõ: bất kỳ pool thanh khoản nào không có phòng thủ trước flash loan đều là mục tiêu. Allbridge không chỉ mất 570.000 USD, mà còn mất uy tín khi buộc những người dùng vô tội hưởng lợi từ khoảng chênh lệch phải trả lại tiền. Điều đó cho thấy team không hiểu bản chất của DeFi: khi một giao thức cho phép arb, arb là hợp lệ. TeleSwap là bài học về quản lý rủi ro vận hành. Một cây cầu Bitcoin với một ví nóng duy nhất chứa 4,5 triệu USD là một quả bom hẹn giờ. Không có multisig, không có Hardware Security Module, không có cold storage. Khi private key bị lộ, toàn bộ số tiền biến mất. Điều tồi tệ hơn là sự im lặng: năm ngày không một lời giải thích. Trong trading, nếu bạn mất tiền mà không báo cáo, bạn sẽ mất tất cả khách hàng. Với TeleSwap, cộng đồng đã mất niềm tin vĩnh viễn. Tôi từng rút 800.000 USD khỏi các pool thanh khoản rủi ro trong bear market 2022, và tôi biết tầm quan trọng của việc hành động nhanh. TeleSwap đã thất bại trong cả phòng thủ lẫn phản ứng. Bây giờ, hãy nói về quan điểm contrarian. Nhiều người nghĩ rằng chỉ có những cây cầu nhỏ mới bị hack. Sai. Lỗ hổng này xuất hiện ở mọi cấp độ. Across là một dự án có tiếng, được đầu tư bởi các quỹ lớn. Allbridge từng là cầu nối chính giữa Solana và EVM. TeleSwap là một trong số ít cầu Bitcoin. Không có cây cầu nào an toàn tuyệt đối. Sai lầm chết người là tin rằng "đã được audit" đồng nghĩa với "an toàn". Audit chỉ tìm ra lỗi logic đã biết, không tìm ra lỗi kiến trúc. Các cầu cross-chain là phần mềm phức tạp nhất trong crypto, và chúng ta vẫn chưa có chuẩn bảo mật thống nhất. Quan điểm contrarian thứ hai: mất 5,7 triệu USD là nhỏ, nhưng tác động lên toàn bộ hệ sinh thái là lớn. Những vụ hack này làm giảm niềm tin vào khả năng tương tác cross-chain. Các Quỹ đầu tư sẽ ngần ngại đưa vốn vào Solana DeFi vì sợ cầu sập. Người dùng sẽ quay lại các cầu lớn như LayerZero, Wormhole, Stargate — nhưng ngay cả chúng cũng từng bị hack. LayerZero bị khai thác vào tháng 3 năm 2022 với 8 triệu USD. Wormhole mất 325 triệu USD. Không có cầu nào bất khả xâm phạm. Đâu là takeaway cho trader và builder? Trước hết, không bao giờ giữ thanh khoản lớn trên một cầu cross-chain lâu hơn mức cần thiết. Hãy di chuyển tài sản qua các giao dịch nhỏ, kiểm tra trước. Thứ hai, yêu cầu đội ngũ dự án công khai kiến trúc bảo mật của họ: họ dùng cơ chế nào để xác thực thông điệp? Họ có cơ chế dừng khẩn cấp không? Câu hỏi tôi thường hỏi: "Nếu tôi mất tiền, ai sẽ chịu trách nhiệm?" — nếu câu trả lời là "hệ thống" hoặc "cộng đồng", hãy rút tiền ngay. Cuối cùng, tôi muốn nhấn mạnh một điểm mà ít ai để ý: các cuộc tấn công này đều xảy ra trên Solana. Không phải ngẫu nhiên. Solana có mô hình đồng thuận khác (Proof of History), và các cầu thường không test đủ kỹ trên môi trường đó. Nếu bạn đang sử dụng cầu từ Solana sang EVM, hãy đặc biệt cảnh giác. Tôi đã thấy mô hình này từ năm 2021: những cầu nối giữa các hệ sinh thái khác biệt về kiến trúc dễ bị tấn công hơn. Lỗ hổng Across là một ví dụ điển hình. Tuần này, ba cây cầu đã sập. Tuần sau, có thể là bốn. Hãy nhớ: trong giao dịch, cách bạn bảo vệ vốn quan trọng hơn cách bạn kiếm lời. Và trong crypto, cách bạn rút tiền về an toàn còn quan trọng hơn cách bạn gửi nó đi.