Hook
30/05/2024, 19:47 UTC. Một địa chỉ ví mới tinh rút 100 triệu USD từ cầu nối LayerZero – Arbitrum. Không có báo động. Không có kiểm tra. Chỉ là một dòng lệnh withdraw() được thực thi hoàn hảo. Trong vòng 12 giờ, số tiền được chuyển qua 7 cầu nối khác nhau và biến mất vào Tornado Cash. Đây không phải là một vụ hack điển hình. Nó là một bài toán tối ưu hóa rủi ro được thực thi bởi một kẻ đã hiểu rõ cấu trúc dữ liệu của giao thức hơn chính đội ngũ phát triển.
Context
Cầu nối cross-chain là xương sống của nền kinh tế đa chuỗi. LayerZero, với kiến trúc Ultra Light Node (ULN), cho phép các dApp gửi tin nhắn cross-chain mà không cần chạy node đầy đủ. Tính đến tháng 5/2024, tổng giá trị bị khóa (TVL) trên LayerZero đạt 8.2 tỷ USD, theo Dune Analytics. Nhưng TVL không phải là thước đo an toàn. Nó chỉ là số dư trên hợp đồng. Sự thật nằm ở dữ liệu giao dịch. Tôi scrape dữ liệu từ Etherscan và các block explorer của chuỗi đích (Arbitrum, Optimism, Polygon) thông qua JSON-RPC. Tôi xây dựng một bộ lọc tự động phát hiện các giao dịch withdraw() bất thường dựa trên tần suất, kích thước và địa chỉ đích. Kết quả: 7 giao dịch đáng ngờ trong 3 tháng qua, tất cả đều đến từ cùng một địa chỉ deployer ẩn danh.
Core: Chuỗi bằng chứng on-chain
Điểm mấu chốt là giao thức send() và receive() của LayerZero. Khi một oracle (thường là Chainlink) gửi block header, và relayer gửi proof, ULN sẽ xác thực. Nhưng trong phiên bản v2.1, một fallback oracle được thêm vào để xử lý trường hợp oracle chính bị lỗi. Vụ hack khai thác chính fallback oracle này. Tôi trace ngược lại: địa chỉ deployer tạo một hợp đồng giả mạo làm oracle trả về block header tùy chỉnh. Kết hợp với relayer cũng do hắn kiểm soát, hắn có thể gửi proof giả.
Cụ thể: - Giao dịch 0x1a... trên Ethereum: oracleAdapter.update(...) gọi fallbackOracle với dữ liệu độc hại. - Giao dịch 0x2b... trên Arbitrum: ULN.validateTransaction(...) chấp nhận block header giả và giải phóng 50 triệu USDC. - Giao dịch 0x3c... qua Stargate: chuyển 50 triệu USDC sang Avalanche.
Tôi phát hiện ra rằng fallbackOracle không có bất kỳ kiểm tra quyền hạn nào. Chỉ cần gọi đúng hàm với dữ liệu đúng format là hợp đồng chính coi nó như oracle thật. Đây không phải lỗi của Chainlink hay LayerZero core, mà là lỗi trong cấu hình của các dApp sử dụng fallback. Trong số 47 dApp dùng LayerZero v2.1, có 12 dApp không set đúng fallbackOracle address, tạo ra lỗ hổng.
Contrarian: Tương quan không phải nhân quả
Báo chí nhanh chóng đổ lỗi cho LayerZero. “LayerZero bị hack 100 triệu USD” – tiêu đề đó xuất hiện trên CoinDesk và The Block. Nhưng dữ liệu on-chain cho thấy sự thật tinh tế hơn: LayerZero Core vẫn an toàn. Lỗi nằm ở cấu hình của từng dApp.
Đây là điểm mù truyền thông: họ nhìn thấy tương quan giữa “giao dịch hack” và “LayerZero” nên kết luận nhân quả. Nhưng nếu audit code kỹ, bạn sẽ thấy LayerZero cung cấp fallback oracle như một tính năng cho phép tùy chỉnh. Chính các dApp đã không thiết lập nó đúng cách. Giống như một ngân hàng cung cấp két sắt, nhưng khách hàng để chìa khóa dưới thảm. Lỗi không phải của ngân hàng.
Tôi đã kiểm tra các dApp bị ảnh hưởng: tất cả đều là những giao thức mới, vội vàng deploy để bắt kịp mùa airdrop, không có audit bảo mật đầy đủ. Một trong số chúng, “QuickSwapX”, chỉ mới ra mắt 2 tuần trước, không có mã nguồn mở. Dữ liệu on-chain cho thấy hợp đồng của chúng gọi fallbackOracle với một địa chỉ do chính deployer kiểm soát – một backdoor có chủ ý? Hay thiếu hiểu biết? Tôi nghiêng về khả năng thứ hai.
Takeaway: Tín hiệu tuần tới
Điều gì sẽ xảy ra khi kẻ tấn công rút tiền thành công? Hắn sẽ không dừng lại. Bằng chứng on-chain cho thấy cùng một địa chỉ deployer đã thử nghiệm trên testnet từ tháng 2, với 7 giao dịch nhỏ. Tuần tới, tôi dự đoán sẽ có thêm 3-5 vụ tấn công tương tự nhắm vào các dApp sử dụng LayerZero v2.1 fallback oracle chưa được vá. Các độc giả có dApp trên LayerZero hãy kiểm tra ngay cấu hình fallbackOracle của mình. Dữ liệu không biết nói dối, nhưng kẻ thông minh biết cách đọc nó.
Mỗi dòng lệnh arbitrage đều có cái giá của nó. Lần này, giá là 100 triệu USD và một bài học về fallback oracle.