Hook:
Sáng sớm ngày 23/3/2023, một dòng tweet ngắn của Allbridge đã làm rung chuyển cộng đồng Solana: “Chúng tôi phát hiện hành vi khai thác trên một số pool stablecoin của Allbridge Bridge, tạm thời dừng hoạt động.” Vài phút sau, dữ liệu on-chain xác nhận: kẻ tấn công đã rút thành công 1,65 triệu USDC bằng đòn bẩy flash loan. Một con số không quá lớn so với tổn thất nghìn tỷ của FTX hay Terra, nhưng đủ để đặt dấu hỏi về sự an toàn của các cầu nối cross-chain – hạ tầng sống còn của DeFi.
Context:
Allbridge là cầu nối thanh khoản dạng pool-to-pool, hoạt động chính trên Solana và Ethereum, cho phép người dùng chuyển đổi tài sản giữa hai hệ sinh thái. Khác với các giải pháp xác thực phi tập trung như LayerZero, Allbridge dựa trên cơ chế Automated Market Maker (AMM) để định giá tài sản trong pool. Điều này đồng nghĩa với việc giá trị pool có thể bị thao túng nếu kẻ tấn công có đủ vốn và thời cơ. Trước vụ tấn công, Allbridge là một trong những cầu nối chính cho hệ sinh thái Solana, song hành cùng Wormhole và Synapse. Tuy nhiên, vụ hack hôm nay đã vạch trần một điểm yếu cố hữu: phụ thuộc quá nhiều vào thanh khoản tức thời mà không có cơ chế chống thao túng hiệu quả.
Core:
Theo phân tích on-chain của tôi (Ngô Linh), kẻ tấn công đã sử dụng flash loan từ Aave để vay một lượng lớn USDC, sau đó thực hiện một loạt giao dịch hoán đổi gây méo mó tỷ lệ pool stablecoin trên Allbridge. Cụ thể, bằng cách bơm một lượng lớn USDC vào pool Solana, hacker đẩy giá USDT và USDC trong pool lên mức bất thường, sau đó đổi lại các stablecoin khác với tỷ giá có lợi. Kết quả: 1,65 triệu USDC bị rút khỏi pool, Allbridge mất cân bằng và buộc phải dừng hoạt động. Ngay sau đó, hacker chuyển toàn bộ tài sản sang Ethereum qua Allbridge (chính nó) và bắt đầu quá trình rửa tiền qua Tornado Cash.
Điều đáng nói là đây không phải kỹ thuật mới. Năm 2020, trong mùa hè DeFi, tôi đã từng cảnh báo rằng các pool AMM dễ bị tổn thương bởi “giá bị bóp méo” khi kết hợp flash loan. Bài học từ sự kiện Harvest Finance và Cream Finance vẫn còn nóng hổi. Vậy tại sao Allbridge lại lặp lại sai lầm? Câu trả lời nằm ở thiếu hụt các lớp bảo vệ: không có oracle giá phi tập trung, không có cơ chế trượt giá động, và không có một mô-đun chống flash loan tiêu chuẩn. Đây là lỗi thiết kế mang tính hệ thống, không phải lỗi code đơn lẻ.
Contrarian:
Nhiều người sẽ nói rằng 1,65 triệu USD là một tổn thất nhỏ so với 325 triệu USD của Wormhole hay 600 triệu USD của Ronin, và Allbridge có thể phục hồi nhanh. Nhưng tôi cho rằng đây là một góc nhìn sai lầm. Các vụ hack lớn thường tạo ra một sự kiện truyền thông mạnh mẽ, buộc cộng đồng và đội ngũ phải hành động. Vụ tấn công nhỏ hơn lại nguy hiểm hơn vì nó cho thấy kẻ tấn công có thể nhắm vào các giao thức với vốn hóa trung bình, nơi mà các biện pháp bảo mật thường bị xem nhẹ. Nếu không có áp lực dư luận, Allbridge có thể chọn cách âm thầm vá lỗi và tiếp tục mà không bồi thường đầy đủ, làm xói mòn niềm tin vào toàn bộ hệ thống cầu nối.
Hơn nữa, câu chuyện “decoupling” – tách rời crypto khỏi thị trường vĩ mô – đang dần bị bác bỏ bởi thực tế: các cuộc tấn công và sự cố kỹ thuật vẫn xảy ra ngay cả khi thanh khoản toàn cầu dư thừa. Lãi suất cơ bản của Fed không quyết định mức độ an toàn của một smart contract. Điều này đặt ra câu hỏi: liệu chúng ta có đang đặt quá nhiều kỳ vọng vào yếu tố vĩ mô mà quên đi những rủi ro cố hữu của công nghệ? Từ góc nhìn của một nhà nghiên cứu thanh toán xuyên biên giới, tôi thấy rằng các cầu nối như Allbridge, dù tiện lợi, nhưng chưa đủ trưởng thành để trở thành hạ tầng cốt lõi cho tài chính toàn cầu.
Takeaway:
Trong một thị trường giảm giá, sống sót quan trọng hơn lợi nhuận. Đối với nhà đầu tư, hãy kiểm tra kỹ lưỡng lịch sử bảo mật của bất kỳ cầu nối nào trước khi gửi tài sản. Đối với các đội ngũ phát triển, đừng chờ một vụ hack lớn mới hành động – hãy học từ những vết nứt nhỏ. Câu hỏi cuối cùng dành cho Allbridge: liệu đội ngũ có dám công bố kế hoạch bồi thường minh bạch, hay sẽ lặp lại vòng luẩn quẩn của những lời hứa và thất hứa?