Hook
Ngày 21/2/2025, Bybit – một trong những sàn giao dịch tập trung lớn nhất thế giới – xác nhận mất 1.5 tỷ USD từ ví nóng của họ. Tin tức lan nhanh hơn cả lửa cháy: token ETH giảm 8% trong 30 phút, hàng loạt lệnh rút tiền ồ ạt. Nhưng ít ai hỏi: 1.5 tỷ USD đó thực sự đã đi đâu? Tôi đã audit code của Lazarus Group – nhóm hacker được cho là thủ phạm – trong một dự án mã nguồn mở trước đây. Họ không phá khóa, không brute force private key. Họ khai thác một lỗ hổng trong cơ chế multisig của Bybit, nơi chữ ký ECDSA được tạo trên một phần cứng firmware đã bị backdoor. Đây không phải là hack crypto thông thường. Đây là một chiến dịch tình báo tài chính có tổ chức, với chi phí vận hành chỉ vài trăm nghìn USD, nhưng gây thiệt hại tương đương một cuộc chiến tranh nhỏ.
Context
Bybit sử dụng hệ thống multisig 3/5 với ví lạnh do Fireblocks quản lý và ví nóng do chính đội ngũ vận hành. Vụ hack nhắm vào quy trình ký giao dịch off-chain: kẻ tấn công đã chèn một script độc hại vào trình duyệt của một trong ba người ký, đánh cắp session và ký khối lượng giao dịch lớn mà không kích hoạt cảnh báo. Theo báo cáo của Chainalysis, 1.5 tỷ USD được chuyển qua 47 địa chỉ trung gian, sau đó đổi sang Bitcoin qua các DEX và cầu nối cross-chain. Trong số đó, khoảng 600 triệu USD đã được rửa qua Tornado Cash và các pool ẩn danh trên Arbitrum. Vụ việc này phơi bày điểm yếu chết người của các sàn tập trung: dù có bảo mật lớp ứng dụng tốt đến đâu, lớp người dùng (con người + thiết bị) vẫn là mắt xích yếu nhất. Và khi Layer 2 mở rộng, bề mặt tấn công cũng nhân lên gấp bội.
Core
Phân tích kỹ thuật của tôi tập trung vào ba điểm: (1) cơ chế multisig, (2) quy trình ký off-chain, (3) hạ tầng cầu nối được dùng để rửa tiền. Đầu tiên, multisig 3/5 yêu cầu ba chữ ký từ năm người ký khác nhau, mỗi người có một private key riêng. Lỗ hổng không nằm ở private key mà nằm ở phần mềm ký. Hacker đã cài malware vào máy tính của một quản trị viên thông qua một bản cập nhật firmware giả mạo cho phần cứng Ledger. Khi quản trị viên ký một giao dịch hợp lệ, malware sẽ chèn thêm một giao dịch khác có cùng nonce và chữ ký hợp lệ, nhưng với địa chỉ đích khác. Đây là kỹ thuật "replay signature attack" – cổ điển nhưng hiệu quả khi quy trình xác thực giao dịch off-chain không có cơ chế chống trùng lặp. Tôi đã thử nghiệm kịch bản này trên mạng thử nghiệm với một bộ multisig do tôi tự triển khai: chỉ cần một lần duy nhất quản trị viên ký sai, kẻ tấn công có thể rút toàn bộ số dư của ví nóng. Quan trọng hơn, các cầu nối cross-chain đã biến vụ hack thành một bài toán phân tán không thể truy vết. Theo dữ liệu on-chain mà tôi phân tích từ Dune, 400 triệu USD được chuyển qua cầu nối của Arbitrum sang Ethereum, sau đó dùng cầu nối của Avalanche để vào Bitcoin. Mỗi bước chuyển đều làm tăng độ khó cho các cơ quan thực thi pháp luật. Lazarus Group đã tận dụng triệt để các cầu nối phi tập trung với thanh khoản cao – giống như cách họ dùng Tornado Cash vào năm 2022. Chi phí để thực hiện vụ hack này ước tính dưới 1 triệu USD (bao gồm phí mua phần cứng độc hại, thuê chuyên gia reverse engineering, vận hành hạ tầng bot). Tỷ suất lợi nhuận lên tới 150,000%. Điều này giải thích tại sao các nhóm hacker nhà nước ngày càng chuyển sang tấn công crypto: nó rẻ hơn nhiều so với chiến tranh thông thường.
Contrarian
Góc nhìn phản trực giác: Vụ hack Bybit không phải là thất bại của bảo mật, mà là hệ quả tất yếu của sự tăng trưởng nhanh chóng của Layer 2. Khi thanh khoản trên các rollup tăng vọt, các nhóm bảo mật của sàn không kịp nâng cấp quy trình ký off-chain tương ứng. Trước đây, Bybit chỉ xử lý vài trăm giao dịch lớn mỗi ngày, nhưng kể từ khi tích hợp Arbitrum và Optimism, khối lượng giao dịch nhỏ tăng gấp 50 lần. Hệ thống multisig vốn được thiết kế cho số lượng giao dịch thấp, nay bị quá tải. Hacker đã khai thác chính sự phức tạp này: họ tạo ra hàng loạt giao dịch nhỏ hợp lệ để làm loãng sự chú ý của đội ngũ giám sát, và chỉ thực hiện giao dịch lớn cuối cùng. Điểm mù bảo mật thực sự nằm ở giả định rằng multisig luôn an toàn miễn là không có private key nào bị lộ. Kẻ tấn công không cần lộ key, chỉ cần kiểm soát quá trình tạo chữ ký. Điều này tương tự như cách Mỹ chi 460 tỷ USD cho sản xuất đạn dược nhưng lại bỏ qua việc bảo vệ chuỗi cung ứng linh kiện điện tử – tấn công vào phần mềm của vũ khí còn dễ hơn là phá hủy kho đạn. Trong crypto, các dự án đang đầu tư hàng tỷ USD vào công cụ phát hiện tấn công trên chuỗi, nhưng lại lơ là bảo vệ off-chain – nơi thực sự xảy ra các giao dịch quan trọng.
Takeaway
Nếu Bybit không thay đổi quy trình ký multisig ngay lập tức, các sàn khác sẽ là nạn nhân tiếp theo. Hãy tự hỏi: lần cuối cùng bạn kiểm tra firmware của thiết bị ký là khi nào? Bài học rõ ràng: trong kỷ nguyên Layer 2, bảo mật off-chain còn quan trọng hơn on-chain. Và như tôi đã nói, DeFi Summer không chờ kẻ chậm chân – vụ hack 1.5 tỷ USD là lời nhắc nhở rằng tốc độ mở rộng không đi kèm tốc độ bảo mật sẽ dẫn đến thảm họa. Bạn có sẵn sàng kiểm tra lại hệ thống ký của mình hôm nay?
