Khi một giao thức bị tấn công lần thứ hai theo cùng một cách, tôi không còn gọi đó là lỗi kỹ thuật nữa. Đó là một sự lựa chọn.
Đầu tháng này, Allbridge Core – cầu nối thanh khoản giữa Solana và các chain khác – lại bị khai thác bằng flash loan. Kẻ tấn công vay 1,12 triệu USDC từ Kamino, thao túng pool USDC/USDT, rút ra số tài sản lớn hơn nhiều, và trả nợ trong cùng một giao dịch. Thiệt hại ước tính khoảng 500.000 USD. Protocol lập tức đóng băng. Nhưng điều làm tôi chú ý không phải con số, mà là lịch sử: tháng 4 năm 2023, chính Allbridge từng bị tấn công y hệt trên BNB Chain. Hai lần. Cùng một vector.
Đây không phải là bài học về việc audit code chưa kỹ. Đây là bài học về văn hóa bảo mật trong DeFi.
Bối cảnh thanh khoản toàn cầu Allbridge Core thuộc lớp ứng dụng cross-chain, nằm trên Solana, cạnh tranh với Stargate, Wormhole hay deBridge. Nó cung cấp cầu nối cho stablecoin, cho phép người dùng chuyển USDC từ Solana sang Ethereum hoặc ngược lại. Cơ chế của nó là một AMM đơn giản: pool USDC/USDT, giá được xác định hoàn toàn bằng tỷ lệ dự trữ trong pool. Không có oracle bên ngoài. Không có giới hạn trượt giá cứng. Đây là thiết kế cổ điển, từng tồn tại từ thời Uniswap V2. Và cũng chính thiết kế này đã khiến nó dễ tổn thương trước flash loan.
Tôi nhớ lại mùa hè DeFi 2020, khi tôi lần đầu hiểu sức mạnh của AMM. Nhưng cũng từ đó, tôi học được rằng bất kỳ pool nào chỉ dựa vào tỷ lệ nội tại để định giá đều là cái bẫy chết người. Một kẻ tấn công chỉ cần một khoản vay lớn, đẩy lệch tỷ lệ pool, mua rẻ tài sản bị định giá thấp, và rút ra chênh lệch. Đó là toán học thuần túy. Allbridge đã biết điều này từ năm ngoái. Họ tuyên bố đã sửa lỗi. Nhưng thực tế cho thấy bản vá chỉ là miếng băng cá nhân trên vết thương hở.
Phân tích kỹ thuật: Vì sao nó xảy ra lần nữa? Hãy nhìn vào chi tiết giao dịch. Kẻ tấn công sử dụng Kamino – một lending protocol trên Solana – để vay 1,12 triệu USDC. Số tiền này được nạp vào pool USDC/USDT của Allbridge Core. Pool vốn có tính thanh khoản khiêm tốn, có lẽ dưới 2 triệu USD. Với một lượng lớn USDC đổ vào, tỷ lệ USDC/USDT bị đảo lộn. USDT trở nên khan hiếm trong pool, giá trị của nó được định giá cao một cách giả tạo. Kẻ tấn công sau đó đổi một phần nhỏ USDC lấy USDT với tỷ giá có lợi, rồi rút toàn bộ thanh khoản (burn LP token) để lấy số tài sản gốc lớn hơn nhiều. Cuối cùng, họ trả lại khoản vay. Toàn bộ quá trình diễn ra trong một block.
Điều đáng chú ý: Allbridge không có cơ chế bảo vệ nào như Chainlink oracle để cung cấp giá tham chiếu. Nếu có, pool sẽ phát hiện giá USDT bị lệch quá xa so với thị trường và từ chối giao dịch. Họ cũng không có biên trượt động (dynamic slippage) hay giới hạn giao dịch tối đa. Về cơ bản, protocol vận hành như một chiếc xe không phanh trên đường đèo.
Tôi từng phân tích các vụ tấn công flash loan tương tự: Cream Finance, bZx, PancakeBunny… Mỗi lần, kẻ tấn công đều lợi dụng điểm mù này. Nhưng điều làm Allbridge khác biệt là tính lặp lại. Năm 2023, họ bị tấn công trên BNB Chain với cùng kỹ thuật. Sau đó, họ thuê audit, phát hành bản vá, và tuyên bố đã khắc phục. Nhưng bản vá đó không giải quyết gốc rễ: việc phụ thuộc hoàn toàn vào tỷ lệ pool nội tại. Nếu họ đã thêm oracle, thì lần tấn công thứ hai sẽ không thể xảy ra. Câu hỏi đặt ra: tại sao họ không làm?
Có thể vì chi phí. Tích hợp oracle tốn gas, phí duy trì, và làm tăng độ phức tạp. Hoặc có thể vì họ tin rằng lỗi đã được vá, và không ai dám tấn công lần nữa. Nhưng trong thế giới on-chain, mọi thứ đều có thể kiểm chứng. Một lỗ hổng không được sửa triệt để sẽ luôn hiện hữu, chờ người khai thác.
Góc nhìn phản trực giác Sự kiện này, dù gây thiệt hại nửa triệu USD, lại mang một tín hiệu ngược với suy nghĩ thông thường. Nhiều người cho rằng các giao thức lớn như Stargate (dùng Chainlink) là an toàn tuyệt đối. Nhưng tôi không nghĩ vậy. Stargate an toàn hơn, nhưng không miễn nhiễm. Bất kỳ protocol nào cũng có thể bị khai thác nếu thiết kế oracle của nó bị thao túng (ví dụ tấn công giá oracle). Điều Allbridge cho thấy là: một lần sập là bình thường, hai lần là sự lười biếng. Và sự lười biếng này không chỉ tồn tại ở Allbridge. Hàng tá giao thức nhỏ trên Solana, Avalanche, hay Polygon đang chạy với cùng mô hình rủi ro. Họ không có đủ nguồn lực để audit sâu, không có oracle, không có kế hoạch dự phòng. Họ chỉ dựa vào niềm tin rằng "sẽ không ai tấn công mình". Nhưng kẻ tấn công không quan tâm đến niềm tin.
Tôi nhìn thấy một cơ hội ở đây. Thị trường đang dồn vốn vào các cầu nối top đầu, tạo ra sự tập trung rủi ro mới. Nếu Stargate hay Wormhole gặp sự cố, hậu quả sẽ khủng khiếp hơn nhiều. Các giao thức nhỏ như Allbridge, dù rủi ro, lại đóng vai trò phân tán thanh khoản. Khi một cái sập, phần còn lại vẫn sống. Bài học thực sự không phải là "tránh xa mọi cầu nối nhỏ