Một kẻ tấn công đã rút cạn 18 triệu USDC từ Ostium Labs, một nền tảng RWA perpetual trên Arbitrum, chỉ trong vòng 20 giao dịch. Sự kiện này không chỉ phơi bày một lỗ hổng kỹ thuật chết người, mà còn đặt ra câu hỏi sinh tử cho toàn bộ mảng Real-World Assets trong DeFi.
Sự việc bắt đầu khi một địa chỉ ví lạ xuất hiện trên blockchain Arbitrum. Trong vòng chưa đầy 30 phút, kẻ tấn công đã thực hiện một loạt các giao dịch gửi và rút tiền gần như đồng thời. Kết quả: quỹ kho bạc của Ostium mất 1,186 triệu USDC, tương đương 32-35% tổng giá trị tài sản bị khóa (TVL). Con số này sau đó được xác nhận là 1,800 triệu USDC.
Sự thật là, trái với suy nghĩ của nhiều người, kẻ tấn công không hề khai thác một lỗi toán học phức tạp trong hợp đồng thông minh. Hắn ta chỉ đơn giản là sở hữu chìa khóa. Cụ thể, private key của một 'oracle signer' – người ký xác nhận giá cho hệ thống oracle của Ostium – đã bị lộ. Với công cụ này, kẻ tấn công đã tạo ra các báo cáo giá giả mạo, sử dụng hợp đồng 'PriceUpKeep forwarder' đã được đăng ký trước và các báo cáo oracle có ngày trong tương lai. Hệ thống, vốn tin tưởng tuyệt đối vào chữ ký này, đã chấp nhận chúng như những sự thật.
Điều này giống như một tên cướp có chìa khóa chính của ngân hàng. Hắn không cần phải phá két. Hắn chỉ cần mở cửa và lấy đi số tiền mặt. Hệ thống phát hiện 'không có hành vi bất thường' bởi vì giao dịch đến từ một người ký được ủy quyền. Kẻ tấn công đã thực hiện khoảng 20 giao dịch khứ hồi, mỗi lần một ít, không bao giờ để lộ rủi ro thị trường thực tế. Đây không phải là một vụ hack kỹ thuật cao. Đây là một vụ trộm cắp có tổ chức dựa trên quyền truy cập.
Vấn đề cốt lõi nằm ở kiến trúc oracle của Ostium. Thay vì sử dụng một mạng lưới oracle phi tập trung như Chainlink, nơi dữ liệu giá được tổng hợp từ nhiều nguồn và được ký bởi nhiều node độc lập, Ostium dường như đã chọn một giải pháp 'được phép' hoặc 'danh sách trắng'. Trong mô hình này, quyền lực tập trung vào một hoặc một vài 'người ký' chủ chốt. Một khi private key của những người ký này bị lộ, toàn bộ giao thức sụp đổ như một domino. Cấu trúc này phổ biến trong CeFi (Tài chính tập trung), nhưng trong thế giới 'phi tập trung' của DeFi, nó là một quả bom hẹn giờ. Dựa trên kinh nghiệm audit của tôi, đây là lỗi 'tập trung hóa quyền lực' phổ biến nhất và nguy hiểm nhất.
Sự vắng mặt của các biện pháp kiểm soát rủi ro cũng là một điểm mù chết người. Một giao thức DeFi trưởng thành lẽ ra phải có các cơ chế 'meltdown' hoặc 'circuit breaker'. Ví dụ, một ngưỡng về sự thay đổi giá trong một khối, hoặc một giới hạn về số lượng giao dịch khứ hồi từ một tài khoản. 20 giao dịch và 1,8 triệu USDC bị rút mà không có bất kỳ cảnh báo nào cho thấy hệ thống kiểm soát rủi ro của Ostium gần như bằng không. Đây không phải là một sai lầm của code, mà là một sai lầm của thiết kế vận hành.
Góc khuất mà không ai nói đến: Sự thất bại của kiểm toán. Ostium Labs từng tự hào về 'sự hỗ trợ của các tổ chức mạnh mẽ và nhiều lần kiểm toán'. Sự thật phũ phàng là các cuộc kiểm toán đó đã thất bại trong việc xác định lộ trình tấn công này. Các công ty kiểm toán, dù có uy tín, thường tập trung vào logic hợp đồng thông minh và các lỗ hổng kỹ thuật phổ biến (re-entrancy, integer overflow). Họ thường ít đi sâu vào kiến trúc oracle, đặc biệt là các giả định về bảo mật private key của signer và quyền lực của hợp đồng forwarder. Điều này cho thấy, việc chỉ dựa vào 'audit' như một con dấu chứng nhận bảo mật là một sai lầm lớn. Một audit có thể nói 'code chạy đúng logic', nhưng nó không thể nói 'thiết kế của bạn an toàn'.
Tác động đến toàn bộ hệ sinh thái RWA là có thật và nghiêm trọng. Sự kiện này là một cú sốc đối với câu chuyện 'RWA on-chain' vốn đang rất hot. Các nhà đầu tư, vốn đã nghi ngờ về tính bảo mật của việc đưa tài sản truyền thống lên chuỗi, giờ đây sẽ càng thêm dè chừng. Tất cả các nền tảng perpetual RWA khác sẽ phải đối mặt với sự giám sát gắt gao hơn từ người dùng và cộng đồng. Các token của chúng có thể bị định giá lại do rủi ro này. Ngay cả Arbitrum, với tư cách là L2 lưu trữ, cũng có thể bị ảnh hưởng nhẹ về mặt danh tiếng, mặc dù vấn đề nằm ở tầng ứng dụng.
Ngược lại, sự kiện này là một chất xúc tác mạnh mẽ cho các giải pháp oracle phi tập trung như Chainlink và Pyth. Thị trường sẽ chứng kiến sự gia tăng nhu cầu về các oracle 'đã được thử nghiệm và đáng tin cậy' hơn. Những dự án mới trong tương lai sẽ buộc phải tích hợp Chainlink hoặc các giải pháp đa chữ ký tương tự ngay từ đầu, thay vì mạo hiểm với các oracle do chính họ xây dựng. Đây là bài học đắt giá nhưng cần thiết cho toàn ngành.
Tương lai của Ostium Labs là rất mờ mịt. Các nhà đầu tư hàng đầu như General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute, GSR giờ đây sẽ phải đối mặt với một bài toán khó: bơm thêm tiền để cứu dự án hay chấp nhận mất trắng. Nếu họ chọn giải cứu, điều đó có thể kéo dài sự sống, nhưng niềm tin đã mất thì khó mà lấy lại. Nếu không, đây sẽ là một trong những vụ 'death by oracle' đáng nhớ nhất trong lịch sử DeFi.
Vấn đề nằm ở con người, không phải công nghệ. Một private key bị lộ có thể giết chết bất kỳ giao thức nào, bất kể code có hoàn hảo đến đâu.