Hook
Trong 7 ngày qua, một giao thức trên Arbitrum đã mất 40% LP... Không, con số chính xác hơn: 24 triệu USD. AFX Trade, một sàn DEX phái sinh vô danh, vừa trở thành con mồi tiếp theo của lỗ hổng mà tôi đã cảnh báo từ năm 2017: cái bẫy mang tên 'custodial bridge'.
Context
AFX Trade là một sàn giao dịch hợp đồng vĩnh viễn (Perpetual DEX) chạy trên Arbitrum. Nó không phải GMX, không phải dYdX. Nó là một trong những 'cá nhỏ' trong ao cá DeFi, cố gắng đi tắt bằng một chiếc cầu nối do chính đội ngũ vận hành. Chiếc cầu đó, như tôi thường gọi, là một quả bom hẹn giờ: nó cho phép chuyển tài sản giữa các chain dưới sự kiểm soát tập trung, trái ngược hoàn toàn với các giải pháp trust-minimized như LayerZero hay atomic swaps. Tôi đã từng phân tích 500 bộ sưu tập NFT vào năm 2021, và bài học rút ra là: bất cứ khi nào một dự án yêu cầu bạn từ bỏ quyền tự quản lý tài sản, hãy coi chừng.
Core
Vụ việc bắt đầu khi một hacker (hoặc một nhóm) phát hiện ra lỗ hổng trong chiếc cầu đó. Không phải Arbitrum bị tấn công – chính xác là giao thức AFX đã mất kiểm soát. Số tiền 24 triệu USD – tương đương gần 600 tỷ VND – nhanh chóng chuyển lên Ethereum mainnet, bắt đầu hành trình rửa tiền. Dựa trên kinh nghiệm audit của tôi, lỗ hổng này rất có thể đến từ một trong ba nguồn: private key bị lộ, logic smart contract cho phép kẻ tấn công giả mạo chữ ký, hoặc một backdoor mà chính đội ngũ để lại. Tôi nghiêng về khả năng thứ hai: khi một cầu nối được thiết kế kém, việc bypass signature verification là chuyện thường ngày. Điều đáng nói: đội ngũ AFX đã đưa ra lời đề nghị '30% tiền thưởng cho hacker' – một hành động cho thấy họ không có kế hoạch dự phòng, cũng không có bảo hiểm. Giống như một người mở cửa mời trộm vào, rồi sau đó xin chia phần.
Contrarian
Họ nói: 'Đây là một sự cố kỹ thuật ngoài ý muốn'. Nhưng tôi nhìn thấy vết xe đổ. Mùa hè đã tàn, nhưng tro vẫn còn âm ỉ. Cái gọi là 'non-custodial DeFi' đang dần bị bóp méo bởi những chiếc cầu kiểu này. Vào năm 2020, tôi mất 5 ETH vì YAM Finance – một dự án có lỗi tương tự. Khi đó, tôi đã viết một loạt bài về tâm lý đám đông trong DeFi, và phát hiện ra rằng đa số người dùng không hề đọc whitepaper. Họ chỉ nhìn vào APR. Và đây là điều phản trực giác: vụ hack AFX Trade không làm suy yếu Arbitrum hay toàn bộ DeFi. Nó chỉ giết chết một kẻ yếu. Nhưng nó tiết lộ một mô hình nguy hiểm: ngày càng nhiều dự án nhỏ chạy đua với thời gian, bỏ qua bảo mật để thu hút thanh khoản nhanh. Họ không xây nhà trên nền đá, mà trên cát. Và cát sẽ sụt.
Takeaway
Câu hỏi cuối cùng không phải là 'Liệu AFX Trade có sống sót?' – tôi đã thấy đủ nhiều xác chết để biết câu trả lời. Câu hỏi là: Bao nhiêu dự án khác đang giương cùng một cái bẫy, và chờ con mồi tiếp theo? Cái bẫy đã giương, chỉ còn chờ con mồi. Lần này là 24 triệu USD. Lần sau sẽ là bao nhiêu?
