Năm 2026, một cầu nối cross-chain hàng đầu mất 100 triệu USD trong 12 phút. Không phải do lỗi oracle, không phải do tấn công flash loan, mà là do một thiết kế tin tưởng đã được cả ngành công nhận là an toàn. Tôi từng nghĩ rằng các cầu nối đã qua thời kỳ sơ khai, cho đến khi tôi nhìn vào mã nguồn của validator set.
Hãy nói về cầu nối. Chúng là huyết mạch của DeFi: cho phép tài sản di chuyển giữa các chuỗi, mở khóa thanh khoản và tạo ra thị trường hiệu quả. Nhưng thiết kế của hầu hết các cầu nối đều dựa trên một giả định: các validator hoặc người ký được chọn đáng tin cậy. Giả định này, như chúng ta sẽ thấy, là trái tim của một vấn đề không thể vá.
Sự cố xảy ra trên cầu nối Omnix (tên giả định). Kẻ tấn công đã khai thác một lỗ hổng trong quy trình xác thực chữ ký: thay vì yêu cầu chữ ký từ 7/10 validator, hợp đồng chỉ kiểm tra rằng chữ ký đến từ một tập hợp con cố định, nhưng không kiểm tra rằng mỗi chữ ký đến từ một validator duy nhất. Kẻ tấn công đã tạo ra một chữ ký duy nhất và sao chép nó 7 lần, vượt qua ngưỡng. Điều này tương đương với việc một cánh cửa an toàn yêu cầu 7 chìa khóa khác nhau, nhưng kẻ tấn công chỉ cần một chìa khóa và sao chép nó 7 lần.
Nhưng đó chỉ là triệu chứng. Vấn đề thực sự sâu xa hơn. Cầu nối Omnix sử dụng một mô-đun "xác thực chữ ký" được tái sử dụng từ một dự án cũ, vốn được thiết kế cho một mục đích khác. Mô-đun này có một giả định ngầm: rằng người gọi sẽ đảm bảo tính duy nhất của người ký. Khi được tích hợp vào cầu nối, giả định đó không còn đúng. Đây là một lỗi kiến trúc cấp độ: sự tái sử dụng mã mà không có kiểm tra ranh giới.
Điểm phản trực giác: Hầu hết mọi người nghĩ rằng các cầu nối an toàn khi chúng sử dụng đa chữ ký. Nhưng sự an toàn không đến từ số lượng chữ ký, mà từ sự đa dạng của chúng. Một chữ ký duy nhất được sao chép 100 lần cũng vô dụng. Sự cố này cho thấy rằng cộng đồng đã quá tập trung vào "bao nhiêu chữ ký" mà quên mất "ai ký và họ có độc lập không".
Từ kinh nghiệm audit của tôi, tôi đã thấy mô hình này lặp lại: các dự án vay mượn các thành phần bảo mật từ nhau mà không hiểu các giả định cơ bản. Kết quả là một chuỗi các lỗ hổng có thể dự đoán được. Trong trường hợp Omnix, lỗ hổng đã tồn tại từ ngày đầu tiên, nhưng không ai chú ý vì nó nằm trong một thư viện được coi là "đã kiểm toán".
Góc nhìn ngược: Cộng đồng thường đổ lỗi cho kẻ tấn công hoặc quy trách nhiệm cho nhóm phát triển. Nhưng tôi cho rằng vấn đề nằm ở văn hóa "tin tưởng mù quáng" vào các thành phần đã được kiểm toán. Kiểm toán không phải là sự đảm bảo, nó chỉ là một bức ảnh chụp tại một thời điểm. Cầu nối cần một mô hình bảo mật động, nơi các giả định được kiểm tra lại trong mỗi lần triển khai.
Takeaway từ câu chuyện này: Chúng ta cần ngừng coi các cầu nối là "hộp đen" và bắt đầu hiểu các giả định của chúng. Mỗi chữ ký, mỗi oracle, mỗi validator đều mang theo một rủi ro. Khi bạn sao chép một chữ ký, bạn không tăng cường bảo mật, bạn chỉ đang tạo ra ảo tưởng về sự đa dạng. Học từ scam, không phải từ thành công: hãy nhìn vào những gì đã sai, không phải những gì đã đúng.
Cầu nối DeFi đang ở ngã rẽ. Một số sẽ chọn con đường "tăng số lượng validator", nhưng điều đó không giải quyết được vấn đề cốt lõi. Con đường thực sự là thiết kế lại các giao thức xác thực để loại bỏ các giả định về tính duy nhất, hoặc sử dụng các bằng chứng mật mã học mạnh hơn như zk-SNARKs. Nhưng cho đến khi đó, mỗi cầu nối là một quả bom hẹn giờ.
Học từ scam, không phải từ thành công. Hãy để vết sẹo này dạy chúng ta nhiều hơn bất kỳ văn bằng nào.
