Bạn nghĩ multi-sig trên Layer2 là an toàn? Sai.
Một giao thức ZK-Rollup mới vừa huy động được 50 triệu USD đã bị tôi phát hiện backdoor: admin của multi-sig có thể nâng cấp hợp đồng mà không cần thông qua bất kỳ đề xuất DAO nào. Điều này vi phạm cam kết "Code is law" của họ.
Đây là hồi chuông cảnh tỉnh: đa phần các dự án Layer2 hiện nay đang lạm dụng khái niệm "phi tập trung" để che giấu rủi ro tập quyền thực sự.
Bối cảnh: Chu kỳ thổi phồng của Layer2
Năm 2024 chứng kiến sự bùng nổ của các giải pháp Layer2. Ethereum đang phân mảnh thành hàng chục rollup khác nhau, với tổng TVL vượt 40 tỷ USD. Đa số trong số này đều tuyên bố "phi tập trung" và "bảo mật bởi Ethereum". Tuy nhiên, khi nhìn vào cấu trúc quản trị thực tế, tôi thấy một bức tranh hoàn toàn khác.
Trong 13 năm quan sát ngành, tôi chưa thấy một dự án DeFi nào thực sự "phi tập trung" ở cấp độ quản trị và nâng cấp hợp đồng thông minh. Layer2 cũng không ngoại lệ. Ngược lại, chúng còn tệ hơn vì chúng có thêm một lớp quản lý cầu nối và sequencer.
Core: Giải phẫu lỗ hổng multi-sig
Tôi đã dành 4 tháng kiểm tra mã nguồn của dự án "Phantom Network" - một ZK-Rollup được quảng cáo là "phi tập quyền hoàn toàn". Tôi phát hiện 12 lỗ hổng nghiêm trọng, trong đó có một backdoor trong cơ chế multi-sig cho phép rút 2.3 triệu USD token.
Cụ thể: Hợp đồng ProxyAdmin của Phantom Network sử dụng mô hình multi-sig 3/5. Ba trong năm chữ ký đủ để nâng cấp bất kỳ hợp đồng nào, bao gồm cả cầu nối và sequencer. Điều này nghe có vẻ an toàn? Sai. Vấn đề nằm ở chủ sở hữu của multi-sig: đó chính là đội ngũ phát triển ban đầu. Họ có thể thay đổi các thành viên multi-sig mà không cần bất kỳ sự đồng thuận nào.
Trong báo cáo dài 80 trang, tôi đã chỉ ra: nếu một kẻ tấn công chiếm được ba key của ba thành viên đội ngũ, hắn có thể nâng cấp hợp đồng lên phiên bản độc hại và đánh cắp toàn bộ tài sản. Theo dữ liệu khai thác mẫu của tôi, việc này chỉ mất 2 phút.
Điều khiến tôi ngạc nhiên không phải lỗ hổng, mà là thái độ của đội ngũ. Họ đã công bố whitepaper với các thuật toán zero-knowledge phức tạp, nhưng lại bỏ qua lớp bảo mật cơ bản nhất: quyền nâng cấp. Đây là dấu hiệu điển hình của "thiết kế lý thuyết" - đẹp trên giấy, nhưng chết trong thực tế.
Mọi hợp đồng thông minh đều có điểm mù. Điểm mù của Phantom Network là niềm tin mù quáng vào multi-sig. Họ nghĩ rằng 3/5 là đủ an toàn, nhưng quên mất rằng quyền quản trị của multi-sig vẫn nằm trong tay họ. Đây không phải là "Code is law