Tôi vẫn nhớ cái cảm giác hồi hộp khi lần đầu tiên farm trên một giao thức mới: APY 3 con số, tổng giá trị khóa (TVL) tăng vùn vụt, và cộng đồng Discord ào ào như ngày hội. Đó là DeFi Summer 2020, tôi còn trẻ, còn tin rằng mọi thứ phi tập trung đều an toàn. Nhưng rồi tôi nhận ra: không phải cái gì sáng bóng cũng là vàng, nhất là khi cái sáng bóng đó đến từ một cây cầu – một bridge – do bên thứ ba xây dựng.
Hôm 22 tháng 7, một bridge của AFX Trade trên Arbitrum đã bị tấn công, thiệt hại 24,15 triệu USDC. Con số ấy không quá lớn so với các vụ hack lịch sử, nhưng nó đánh trúng vào nỗi ám ảnh của tôi: những bridge chưa được kiểm toán kỹ càng, hứa hẹn lợi nhuận nhanh chóng, và cuối cùng là nước mắt của người dùng.
Context: AFX Trade và cây cầu chết chóc
AFX Trade là một sàn giao dịch phái sinh phi tập trung (perpetual DEX) trên Arbitrum, sử dụng USDC làm tài sản thanh toán. Để đưa USDC từ các chain khác vào Arbitrum, họ xây dựng một bridge riêng – tôi gọi đó là “cây cầu tự chế”. Không giống như native bridge do chính đội ngũ Arbitrum phát triển, bridge của AFX Trade là sản phẩm của bên thứ ba, không rõ nguồn gốc audit công khai. Theo thông tin từ Blockaid – công ty bảo mật phát hiện vụ tấn công – kẻ xấu đã rút cạn pool USDC trên bridge đó, khiến toàn bộ tài sản người dùng mất sạch.
Arbitrum ngay lập tức lên tiếng: native bridge của họ hoàn toàn an toàn, không bị ảnh hưởng. Nhưng đối với những người dùng đã gửi tiền vào bridge AFX để farm những APY hấp dẫn từ các pool thanh khoản của sàn, thì đó là một thảm họa. Tài sản của họ giờ đây nằm trong ví của hacker, và AFX Trade chưa có bất kỳ thông báo bồi thường nào.
Core: Phân tích kỹ thuật – Vì sao bridge bên thứ ba lại dễ bị hack?
Dựa trên kinh nghiệm audit và theo dõi hàng chục vụ hack trong 5 năm qua, tôi nhìn thấy một khuôn mẫu lặp lại: bridge bên thứ ba thường mắc lỗi ở ba điểm chết người.
Thứ nhất, lỗ hổng trong cơ chế xác thực tin nhắn. Các bridge hoạt động bằng cách lắng nghe sự kiện từ chain nguồn và xác thực chúng trên chain đích. Với native bridge, cơ chế xác thực là một phần của giao thức L1/L2, được bảo vệ bởi toàn bộ sức mạnh đồng thuận. Với bridge bên thứ ba, họ thường dùng các validator riêng hoặc light client. Nếu số lượng validator nhỏ (3-5 node), hoặc quy trình ký multisig không an toàn, hacker chỉ cần chiếm được một vài private key là có thể giả mạo tin nhắn chuyển tiền. Trong vụ AFX, khả năng cao là private key của bridge operator bị lộ, hoặc hợp đồng thông minh có backdoor cho phép admin rút tiền mà không cần xác thực chéo.
Thứ hai, thiếu kiểm toán chuyên sâu. Tôi từng phân tích mã nguồn của một bridge nhỏ khác, và thấy họ dùng oracle giá đơn giản từ một nguồn duy nhất. Nếu oracle đó bị thao túng, hacker có thể tạo ra chênh lệch tỷ giá và rút tiền. Nhưng vấn đề thường gặp hơn là lỗi trong logic tính toán số dư: do bridge phải khóa token ở chain A và mint token wrapper ở chain B, nếu không đồng bộ state thì kẻ xấu có thể khai thác race condition. AFX bridge có thể đã không được kiểm toán bởi các công ty uy tín như OpenZeppelin, Trail of Bits, hay Certik – ít nhất không có công khai báo cáo. Khi một dự án không minh bạch về audit, đó là red flag đầu tiên.
Thứ ba, thiết kế admin key quá tập trung. Nhiều bridge bên thứ ba có một hoặc vài admin key có thể nâng cấp hợp đồng (upgradeable proxy) hoặc rút tiền trực tiếp. Nếu admin key bị rò rỉ – do lưu trữ bảo mật kém, phishing, hoặc insider – thì toàn bộ pool sẽ mất. Vụ hack 24 triệu USDC này rất có thể thuộc dạng “private key compromise”. Chúng ta cần chờ on-chain forensic từ các công ty bảo mật để xác nhận, nhưng dựa trên kinh nghiệm 5 năm của tôi, lỗi con người trong quản lý khóa là nguyên nhân hàng đầu của các vụ hack bridge.
Contrarian: Góc nhìn phản trực giác – Native bridge cũng có thể bị tấn công
Đừng vội mừng vì “Arbitrum native bridge an toàn”. Có một sự thật phản trực giác: native bridge dù an toàn hơn, nhưng không phải bất tử. Trong lịch sử, Optimism đã từng có lỗi trong cơ chế fraud proof của native bridge; Solana cũng từng bị tấn công cross-chain qua Wormhole (dù Wormhole không phải native bridge, nhưng nó từng là giải pháp chính). Điểm khác biệt là native bridge được kiểm toán nhiều hơn, được cộng đồng L1/L2 bảo vệ, và thường có cơ chế slashing cho validator. Tuy nhiên, nếu chính L1 hoặc L2 bị tấn công, native bridge cũng sẽ sụp đổ.
Điều tôi muốn nhấn mạnh không phải là “chỉ dùng native bridge”, mà là: đừng bao giờ nghĩ rằng bridge bên thứ ba là an toàn chỉ vì nó nằm trên một L2 uy tín. Arbitrum là một trong những L2 tốt nhất hiện nay, nhưng điều đó không ngăn được hacker rút 24 triệu USDC từ bridge AFX. Cộng đồng thường mắc sai lầm khi đánh đồng bảo mật của chain với bảo mật của ứng dụng trên nó. Mỗi DApp là một pháo đài riêng, và nếu người xây pháo đài bất cẩn, cửa sẽ bị mở toang.
Takeaway: Lý tưởng phi tập trung cần được thực thi qua mã nguồn mở và kiểm toán độc lập
Là một người theo đuổi lý tưởng phi tập trung từ năm 2017, tôi tin rằng blockchain không chỉ là tiền, mà là cách phân phối lại quyền lực. Nhưng quyền lực đó chỉ thực sự thuộc về người dùng nếu họ có thể tự mình kiểm chứng bảo mật. Vụ hack AFX bridge là lời nhắc nhở: trước khi farm bất kỳ pool nào với APY hấp dẫn, hãy dừng lại và đặt câu hỏi: bridge này đã được audit chưa? Ai là operator? Có multisig không? Mã nguồn có công khai không?
Tôi không muốn thấy thêm một người bạn nào trong cộng đồng Crypto Education của tôi mất tiền vì những cây cầu không an toàn. Hãy bắt đầu bằng việc chỉ sử dụng native bridge cho các lần cross-chain đầu tiên. Nếu bắt buộc phải dùng bridge bên thứ ba, hãy kiểm tra xem họ có bảo hiểm (Insurance) hay không, liệu có kế hoạch bồi thường nếu bị hack không. Và quan trọng nhất: đừng để lòng tham làm lu mờ lý trí. APY 3 con số thường đi kèm rủi ro 3 con số.
Câu hỏi cuối cùng tôi dành cho bạn: Bạn có thực sự muốn trở thành nông dân (farmer) trong một hệ sinh thái mà cây cầu bạn đang đứng có thể sập bất cứ lúc nào?
