24 triệu USD. Đó là con số mà cầu nối lưu ký của AFX Trade ‘bốc hơi’ trong vòng chưa đầy 20 phút. Không phải lỗi Arbitrum. Không phải tấn công 51%. Chỉ đơn giản là một điểm yếu trong thiết kế mà tôi đã cảnh báo từ năm 2021: bất kỳ cầu nối nào yêu cầu bạn giao quyền kiểm soát tài sản cho một thực thể trung tâm đều là bom nổ chậm.
AFX Trade là một sàn giao dịch phái sinh vĩnh viễn (perp DEX) trên Arbitrum. Họ sử dụng cầu nối lưu ký do chính họ vận hành để chuyển tài sản giữa các chuỗi. Kẻ tấn công đã khai thác lỗ hổng trong cầu nối này, rút sạch 24 triệu USD từ pool thanh khoản rồi nhanh chóng đưa lên Ethereum. Dự án đưa ra phần thưởng 30% cho hacker nếu trả lại tiền. Nhưng trong thế giới DeFi, một khi tiền đã đi qua Tornado Cash, cơ hội thu hồi gần như bằng không.
Tôi nhìn vào lịch sử giao dịch trên chuỗi. 24 triệu USD tương đương khoảng 8.000 ETH tại thời điểm đó. Hacker đã sử dụng nhiều địa chỉ trung gian để che giấu dấu vết. Đây không phải là một kẻ nghiệp dư. Đây là một chuyên gia hiểu rõ kiến trúc của cầu nối lưu ký — nơi mà private key hoặc hợp đồng thông minh có backdoor là điểm yếu chí mạng.
Bối cảnh thị trường
Đang trong thị trường giảm. TVL toàn ngành sụt giảm. Người dùng đổ xô vào các DEX có thanh khoản sâu như GMX, Gains Network. AFX Trade vốn là một cái tên nhỏ, cố gắng cạnh tranh bằng cách cung cấp đòn bẩy cao và phí thấp. Nhưng họ đã sai lầm khi chọn thiết kế cầu nối lưu ký thay vì các giải pháp phi tập trung như LayerZero hay các pool thanh khoản on-chain kiểu GLP.
Cầu nối lưu ký có nghĩa là: bạn gửi tài sản vào một địa chỉ multisig do đội ngũ kiểm soát, họ ghi nhận và phát hành token trên chuỗi đích. Hoàn toàn tin tưởng. Nếu private key bị lộ, hoặc hợp đồng thông minh có lỗi, tài sản của bạn sẽ bị rút sạch. Điều này đã xảy ra với Wormhole (325 triệu USD), Ronin (600 triệu USD), và bây giờ là AFX Trade.
Phân tích kỹ thuật: Vì sao cầu nối lưu ký là tử huyệt?
Tôi từng tham gia audit một số cầu nối lưu ký cho các dự án nhỏ ở Vienna. Hầu hết đều có chung một vấn đề: quyền quản trị quá lớn. Hợp đồng thông minh thường có một hàm transferOwnership hoặc mint không giới hạn. Nếu kẻ tấn công chiếm được quyền đó, chúng có thể in thêm token trên chuỗi đích bao nhiêu tùy ý.
Trong trường hợp AFX Trade, chưa có thông tin chi tiết về lỗ hổng. Nhưng dựa trên cách hacker chuyển tiền nhanh chóng, có hai khả năng: - Private key bị rò rỉ: ai đó trong đội ngũ hoặc qua social engineering đã để lộ chìa khóa. - Lỗi logic trong hợp đồng: ví dụ như hàm xác thực chữ ký bị bypass, hoặc không kiểm tra nonce đúng cách.
Tôi nghiêng về khả năng thứ hai, vì nếu là private key, hacker thường rút toàn bộ một lần. Ở đây, giao dịch diễn ra trong 20 phút với nhiều bước nhỏ — giống như một script tự động.
Góc nhìn ngược: Cầu nối lưu ký vẫn tồn tại?
Một số người cho rằng cầu nối lưu ký nhanh và rẻ hơn, phù hợp với các dự án nhỏ. Sai. Trong thị trường giảm, thanh khoản là vàng. Mất 24 triệu USD có thể xóa sổ hoàn toàn một dự án. Chi phí xây dựng cầu nối lưu ký rẻ, nhưng chi phí thất bại là vô hạn.
Đối thủ của AFX Trade như GMX không dùng cầu nối lưu ký. Họ dùng pool thanh khoản on-chain, nơi mọi giao dịch đều được xác minh bởi mạng lưới. Không có điểm tập trung nào để tấn công. Dĩ nhiên, GMX cũng có rủi ri ro hợp đồng, nhưng đó là rủi ro có thể kiểm soát bằng audit. Còn rủi ro cầu nối lưu ký là rủi ro về lòng tin — thứ mà blockchain sinh ra để loại bỏ.
Takeaway
Sự kiện AFX Trade không phải là lời nguyền của Arbitrum. Nó là lời nhắc nhở rằng: nếu bạn không nắm private key, bạn không sở hữu tài sản. Hãy kiểm tra mọi cầu nối bạn đang dùng. Nếu nó là lưu ký — dù là multisig 5/7 — hãy rút tiền ngay. Trong thị trường giảm, sống sót quan trọng hơn lợi nhuận. 24 triệu USD là học phí cho những ai chưa hiểu điều này.
Tôi sẽ theo dõi địa chỉ hacker. Nếu họ chấp nhận 30% tiền thưởng, có thể AFX Trade sẽ sống sót. Nhưng với kinh nghiệm 6 năm trong lĩnh vực này, tôi biết: một khi hacker đã lấy được tiền, chúng sẽ không bao giờ trả lại. Có thể chúng sẽ troll bằng cách gửi lại 1 ETH như một lời nhắn. Nhưng 24 triệu USD đã đi vào lịch sử DeFi như một bài học nữa về cầu nối lưu ký.
Câu hỏi cho bạn: DEX bạn đang dùng có cầu nối lưu ký không?