Sáng nay, PeckShield báo động: kẻ tấn công đã gửi 331,8 ETH (khoảng 62.390 USD) vào địa chỉ multisig Hub Pool Owner của Across Protocol. Số tiền này chỉ chiếm 17% tổng số 360.000 USD bị đánh cắp từ Solana tuần trước. Một động thái lạ: trả lại tiền sau khi cướp. Nhưng đừng vội mừng. Thị trường crypto đã chứng kiến quá nhiều vụ 'trả lại' mang tính chiến thuật – từ Poly Network (2021) đến Euler Finance (2023). Lần này có gì khác?
Across Protocol là cầu nối cross-chain chuyên chuyển tài sản giữa Ethereum và các L2 như Arbitrum, Optimism, và gần đây là Solana. Giao thức dựa trên hệ thống 'relayer + liquidity pool' để tối ưu tốc độ. Nhưng chính cơ chế xác thực tin nhắn giữa các chain lại là điểm yếu kinh điển của mọi cross-chain bridge. Kẻ tấn công đã khai thác lỗ hổng trên hợp đồng Solana, rút 360.000 USD ra khỏi pool. Đến nay, đội ngũ vẫn chưa công bố root cause. Phải chăng họ đang câu giờ để đàm phán?
Việc trả lại 62.000 USD có thể là tín hiệu 'thiện chí' – kẻ tấn công muốn tránh truy tố hình sự, hoặc đang thương lượng phần thưởng bug bounty. Nhưng 17% là con quá nhỏ để gọi là 'hối lỗi'. Trong vụ Poly Network, hacker trả gần hết 600 triệu USD. Ở Euler, 90% được hoàn trả. Ở Across, chỉ 17% – phần còn lại 298.000 USD vẫn nằm trong tay kẻ lạ. Điều này cho thấy kẻ tấn công hoặc không sợ hậu quả, hoặc đang thử nghiệm phản ứng của đội ngũ.
Từ kinh nghiệm audit của tôi năm 2017 với Aragon – phát hiện lỗ hổng rút 200 ETH ngay lập tức – tôi biết rằng việc không công bố chi tiết kỹ thuật là dấu hiệu xấu. Across Protocol chưa đưa ra báo cáo post-mortem. Họ im lặng. Điều này khiến tôi nhớ lại câu chuyện về 'decentralized sequencing' mà các L2 hứa hẹn suốt hai năm – chỉ là PowerPoint. Cầu nối cross-chain cũng vậy: multisig ẩn danh, sequencer tập trung, và người dùng trả giá.
Quan điểm phản biện: Đừng nhìn vào 62.000 USD được trả lại như một tín hiệu tích cực. Hãy nhìn vào 298.000 USD chưa được trả. Hãy nhìn vào sự thiếu minh bạch. Thị trường đi ngang hiện tại đang khiến mọi người chấp nhận rủi ro cao hơn để kiếm yield. Nhưng các vụ hack cross-chain vẫn tiếp diễn: Wormhole (326M), Ronin (600M), Harmony (100M). Across chỉ là một vết xước nhỏ – nhưng nó phơi bày căn bệnh cố hữu: cầu nối là trái tim yếu nhất của DeFi.
Kết luận của tôi: Hãy coi màn trả tiền này như một 'bài kiểm tra' trước khi dùng Across Protocol. Nếu đội ngũ không nhanh chóng công bố root cause và kế hoạch bồi thường toàn bộ, hãy rút thanh khoản. Tôi đã từng mất 30 ETH vì ham theo dõi nhiều pool NFT năm 2021 – bài học về sự tập trung. Lần này, hãy tập trung vào bảo mật. Cầu nối nào không có audit công khai, không có kế hoạch dự phòng, thì không đáng để bạn gửi tiền.
Hành động theo dõi: Theo dõi địa chỉ ví của kẻ tấn công (0x... trên Etherscan). Nếu họ tiếp tục gửi thêm ETH, đó là tín hiệu tích cực. Nếu địa chỉ im lặng, đó là cảnh báo. Còn Across Protocol? Họ đang chạy đua với thời gian để giữ lại niềm tin của người dùng. Trong một thị trường ngang, niềm tin là tài sản duy nhất không thể mint thêm.