Vụ cướp 16,1 triệu ADA trên SecondFi: Cuộc chiến với Lazarus Group và tương lai của Cardano DeFi

Trong 9 tháng đầu năm 2024, tổng số tiền bị đánh cắp từ các giao thức DeFi đã vượt mức 1,2 tỷ USD, với số vụ tấn công tăng 40% so với cùng kỳ năm trước. Nhưng khi tôi đọc thông báo của SecondFi – một giao thức DeFi nhỏ trên Cardano – về vụ mất 16,1 triệu ADA, tôi không khỏi dừng lại lâu hơn bình thường. Không phải vì con số quá lớn, mà vì cái tên được gắn với vụ việc: Lazarus Group, tổ chức tội phạm mạng của Triều Tiên. Kẻ tấn công – theo lời cáo buộc – không chỉ là một hacker đơn lẻ mà là một bộ máy được nhà nước hậu thuẫn, với hệ thống rửa tiền tinh vi và khả năng gây áp lực địa chính trị. SecondFi đã đưa ra tối hậu thư công khai, kêu gọi hacker trả lại 85% số tiền, giữ lại 15% như một khoản tiền thưởng. Điều này nghe có vẻ giống một chiến thuật tuyệt vọng, nhưng thực chất lại phơi bày một sự thật đau đớn về kiến trúc bảo mật của Cardano DeFi. Cardano được ca ngợi là một blockchain an toàn, dựa trên mô hình UTXO mở rộng (EUTXO) và ngôn ngữ Plutus, hứa hẹn tránh được những lỗ hổng kinh điển của Ethereum. Nhưng vụ tấn công SecondFi cho thấy một sự hiểu lầm phổ biến: bảo mật của lớp 1 không tự động bảo vệ các ứng dụng chạy trên đó. EUTXO giúp giảm thiểu một số loại tấn công như re-entrancy, nhưng nó không phải là một tấm khiên vạn năng. Thực tế, Cardano vẫn thiếu một hệ sinh thái thư viện hợp đồng mẫu an toàn, trưởng thành như OpenZeppelin của Ethereum. Các nhà phát triển trên Cardano thường phải tự xây dựng những thành phần cơ bản từ đầu, và trong quá trình đó, những sai lầm tinh vi dễ bị bỏ sót. Hãy nhìn lại dòng thời gian của vụ việc. Vào tháng 6, SecondFi – nền tảng chuyên cung cấp các dịch vụ tài chính phi tập trung như cho vay, hoán đổi và cung cấp thanh khoản – bị khai thác. 16,1 triệu ADA bị rút khỏi giao thức, tương đương khoảng 5,6 triệu USD tại thời điểm đó. Số tiền này không lớn so với tổng nguồn cung 45 tỷ ADA của Cardano, chỉ chiếm chưa đầy 0,04%. Nhưng đối với SecondFi, con số này có thể là thảm họa, đặc biệt nếu một phần trong số đó thuộc về người dùng. Sau nhiều tháng im lặng, giao thức mới công khai kêu gọi hacker trả tiền, điều này đặt ra câu hỏi: vì sao phải đợi đến 6 tháng? Và liệu thông điệp này có phải là một dấu hiệu cho thấy mọi kênh đàm phán ngầm đã thất bại? Điều quan trọng hơn là bài học về kỹ thuật mà vụ việc này mang lại. Trong quá trình kiểm toán các hợp đồng thông minh từ năm 2017, tôi từng phân tích những dự án ICO hứa hẹn đổi mới thanh toán xuyên biên giới, giống như OmiseGo thời kỳ đầu. Khi đó, tôi đã chỉ ra rằng nhiều dự án có tầm nhìn tốt nhưng lại thiếu một khuôn khổ đảm bảo an toàn tài chính. SecondFi cũng vậy. Việc thiếu thông tin về loại lỗ hổng cụ thể – không rõ là lỗi trong mã Plutus hay logic nghiệp vụ – khiến cộng đồng khó có thể đánh giá mức độ rủi ro còn lại. Nếu lỗ hổng chưa được vá triệt để, hoặc nếu có các điểm yếu khác chưa được phát hiện, người dùng của SecondFi có thể vẫn đang ngồi trên một quả bom hẹn giờ. Từ góc độ quản trị rủi ro, tôi khuyến nghị bất kỳ ai có tài sản trong các giao thức Cardano quy mô nhỏ nên xem xét lại khẩu vị rủi ro của mình. Về mặt kinh tế vĩ mô, vụ việc này cũng phơi bày một thực tế rằng các vụ hack DeFi không thể tách rời khỏi bối cảnh thanh khoản toàn cầu. Trong thị trường giảm, dòng tiền khô cạn, các dự án nhỏ càng dễ bị tổn thương trước các cuộc tấn công. Số tiền 5,6 triệu USD có thể không làm rung chuyển thị trường ADA, nhưng nó có thể là một đòn chí mạng đối với SecondFi. Khi niềm tin của người dùng sụp đổ, TVL của giao thức sẽ bốc hơi, và vòng xoáy tử thần bắt đầu: càng ít thanh khoản, càng ít cơ hội phục hồi, càng nhiều người rút tiền. Tôi đã chứng kiến điều tương tự xảy ra với nhiều dự án trong những chu kỳ trước, và bài học luôn giống nhau: sau một vụ hack, tốc độ phản hồi và minh bạch là chìa khóa sống còn. Tuy nhiên, có một góc nhìn phản trực giác mà nhiều người có thể bỏ lỡ. Sự kiện SecondFi, dù đau đớn, lại là một tín hiệu tích cực cho sự trưởng thành của Cardano DeFi, giống như một lời cảnh tỉnh cần thiết trước khi bước vào giai đoạn tăng trưởng lớn hơn. Trước đây, Cardano từng bị chế giễu vì không có ứng dụng đáng kể, nhưng khi các giao thức bắt đầu xuất hiện và gia tăng giá trị, những lỗ hổng bảo mật sẽ tự động lộ diện. Điều này buộc hệ sinh thái phải phát triển các công cụ kiểm toán chuyên sâu hơn cho Plutus, thúc đẩy sự hình thành các tiêu chuẩn bảo mật nội bộ. Nếu có một điều mà thị trường cần học từ các sự kiện như Ronin hay Bybit, đó là các cuộc tấn công lớn thường xảy ra trước những đợt tăng trưởng tiếp theo – bởi vì chúng ép các dự án phải củng cố nền tảng. Liên quan đến Lazarus Group, chúng ta nên thận trọng. Việc gắn nhãn một vụ hack cho một tổ chức tội phạm có chủ quyền không chỉ đơn thuần là phân tích kỹ thuật; nó có thể dẫn đến những hậu quả nghiêm trọng, bao gồm lệnh trừng phạt từ OFAC và sự đóng băng tài sản. Nếu các địa chỉ liên quan bị đưa vào danh sách SDN, mọi giao dịch với chúng sẽ trở thành bất hợp pháp đối với công dân và công ty Mỹ, khiến SecondFi khó có thể nhận lại tiền một cách hợp pháp. Trong bối cảnh đó, tối hậu thư của SecondFi trở thành một công cụ đàm phán yếu ớt: thay vì dùng pháp luật, họ phải dùng phần thưởng để dụ hacker. Nhưng nếu hacker thực sự là một phần của bộ máy Triều Tiên, thì 15% của 5,6 triệu USD chưa chắc đã đủ hấp dẫn so với lợi ích địa chính trị mà chúng muốn đạt được. Tôi nhớ lại cuộc khủng hoảng thanh khoản mà tôi phân tích vào tháng 6 năm 2020, khi các pool thanh khoản trên Uniswap bắt đầu lộ ra sự phụ thuộc nguy hiểm vào các nhà tạo lập thị trường tập trung. Tôi đã cảnh báo các đồng nghiệp của mình về nguy cơ một đợt phá giá lớn, và chỉ vài tháng sau, thị trường đã chứng kiến sự sụp đổ của nhiều giao thức. Bài học từ đó vẫn còn nguyên giá trị: những gì trông có vẻ an toàn ở lớp vỏ ngoài thường ẩn chứa những vết nứt ở cấu trúc bên trong. Cardano với mô hình EUTXO có vẻ an toàn hơn về mặt lý thuyết, nhưng vụ SecondFi cho thấy lý thuyết không thể thay thế thực tiễn kiểm toán. Sự an toàn của một giao thức không nằm ở nền tảng mà ở cách nó được xây dựng, vận hành và giám sát. Nhìn vào phản ứng của đội ngũ SecondFi, tôi thấy một sự chậm trễ đáng ngại. Nếu vụ tấn công xảy ra từ tháng 6, vậy tại sao họ chỉ đưa ra tối hậu thư vào tháng 12? Sự im lặng kéo dài 6 tháng có thể cho thấy họ đang cố gắng khắc phục hậu quả một cách âm thầm, nhưng cũng có thể là dấu hiệu của sự thiếu minh bạch và quản trị yếu kém. Trong một ngành mà niềm tin là tài sản quý giá nhất, sự chậm trễ trong việc công bố thông tin – ngay cả khi không có thông tin mới – có thể bị coi là một sự thừa nhận gián tiếp về mức độ nghiêm trọng của vấn đề. Tôi nhớ lại năm 2017, khi tôi gửi báo cáo 12 trang về các lỗ hổng trong hợp đồng OmiseGo, dự án đã phản hồi trong vòng một tuần. Sự nhanh nhạy đó tạo ra sự khác biệt lớn trong đánh giá mức độ nghiêm túc của một đội ngũ. Một điểm nữa cần được nhấn mạnh: cuộc tấn công này không phải là một sự thất bại của Cardano với tư cách một nền tảng, mà là thất bại của một ứng dụng cụ thể. Điều này có thể gây hiểu lầm cho những người mới tham gia, khi họ vội vàng kết luận rằng Cardano không an toàn. Nhưng thực tế, mọi blockchain đều có thể bị tấn công ở tầng ứng dụng; vấn đề là hệ sinh thái có sẵn sàng học hỏi từ sai lầm hay không. Ethereum đã trải qua hàng trăm vụ hack trong giai đoạn đầu phát triển, nhưng điều đó không ngăn nó trở thành nền tảng DeFi lớn nhất. Cardano, với nền tảng kỹ thuật vững chắc, hoàn toàn có thể đi qua giai đoạn này, nhưng phải có những thay đổi về văn hóa an toàn và sự cộng tác giữa các đội ngũ. Trong bối cảnh thị trường giá giảm, việc xảy ra một vụ hack có thể tạo ra áp lực bán tháo cục bộ đối với ADA, nhưng tôi đánh giá tác động là không đáng kể. Lịch sử cho thấy các sự kiện tấn công thường chỉ tạo ra biến động ngắn hạn, trừ khi liên quan đến những giao thức có TVL lớn hoặc có yếu tố rủi ro hệ thống. SecondFi nằm trong nhóm các dự án nhỏ, nên những gì chúng ta đang chứng kiến chỉ là một phần của bức tranh toàn cảnh về sự an toàn của Cardano DeFi. Điều quan trọng cần theo dõi là liệu các giao thức khác trên Cardano có bị ảnh hưởng dây chuyền hay không. Nếu người dùng bắt đầu rút tiền khỏi toàn bộ các dự án Cardano vì lo ngại bảo mật, chúng ta có thể thấy một sự sụt giảm TVL mang tính hệ thống, và điều đó mới thực sự đáng lo ngại. Câu chuyện về SecondFi cũng đặt ra một câu hỏi lớn hơn về trách nhiệm của các nhà đầu tư và cơ quan quản lý. Nếu chúng ta chấp nhận rằng Lazarus Group là thủ phạm, vậy quy định của Mỹ với các lệnh trừng phạt sẽ càng trở nên nghiêm khắc hơn đối với toàn bộ ngành công nghiệp tiền mã hóa. Các sàn giao dịch sẽ phải rà soát chặt chẽ hơn các dòng tiền đến từ các địa chỉ rủi ro, các dự án DeFi sẽ phải cân nhắc chi phí tuân thủ AML ngay từ ngày đầu. MiCA của châu Âu là một ví dụ điển hình về việc quy định có thể nuốt chửng các dự án nhỏ bằng chi phí tuân thủ, và các vụ việc như SecondFi sẽ càng thúc đẩy xu hướng đó. Sẽ là mỉa mai nếu một vụ hack 5,6 triệu USD lại trở thành nguyên nhân khiến cho các dự án DeFi nhỏ ở châu Âu phải đóng cửa vì không đủ khả năng đáp ứng các yêu cầu pháp lý mới. Khi tôi kết thúc bài phân tích này, tôi nhận ra rằng vụ cướp SecondFi không phải là một câu chuyện có hồi kết rõ ràng. Khả năng cao là 16,1 triệu ADA sẽ không bao giờ được trả lại. Sự tham gia của một tổ chức tội phạm quốc gia sẽ không sớm thay đổi vì một lời kêu gọi tốt đẹp từ một giao thức nhỏ. Nhưng điều đó không khiến vụ việc trở nên vô nghĩa. Nó đóng vai trò là một phép thử cho thấy cách Cardano và cộng đồng của nó phản ứng với khủng hoảng. Liệu họ sẽ xây dựng các tiêu chuẩn bảo mật mới, chia sẻ thông tin, và hợp tác chặt chẽ hơn với các cơ quan điều tra? Hay họ sẽ để nó chìm vào quên lãng như một dự án thất bại khác trong biển cả DeFi? Câu trả lời sẽ định hình tương lai của Cardano trong nhiều năm tới. Còn với những người nắm giữ ADA, có lẽ đây là lúc để nhận ra rằng lòng trung thành với một hệ sinh thái không nên dựa trên sự kỳ vọng, mà nên dựa trên khả năng tự bảo vệ của chính hệ sinh thái đó.