Vừa mới cập nhật về vụ việc Resolv từ vài tuần trước và thành thật mà nói, đây là một lời nhắc nhở khá tỉnh thức về cách độ phức tạp ngày càng tăng của DeFi có thể trở thành rủi ro lớn nhất của chính nó.

Vì vậy, đây là những gì đã xảy ra vào ngày 22 tháng 3. Resolv, một giao thức DeFi đã trải qua 18 cuộc kiểm tra an ninh, đã bị xâm phạm. Nhưng không phải qua lỗi hợp đồng thông minh. Thay vào đó, kẻ tấn công đã truy cập vào môi trường AWS KMS của họ, nơi giao thức lưu trữ các khóa ký quyền cao của mình. Từ đó, cuộc tấn công gần như quá đơn giản đến mức ngượng nghịu: họ đã tạo ra 80 triệu stablecoin USR không thế chấp và rút ra khoảng 25 triệu đô la giá trị trước khi ai đó có thể ngăn chặn họ.

Cơ chế hoạt động đáng để hiểu vì chúng tiết lộ một lỗ hổng thiết kế cơ bản. Quá trình phát hành của Resolv không hoàn toàn trên chuỗi. Khi người dùng muốn phát hành USR, họ sẽ gửi USDC qua requestSwap, sau đó một dịch vụ ngoài chuỗi do một khóa riêng kiểm soát sẽ ủy quyền số lượng phát hành thực tế qua completeSwap. Chính hợp đồng thông minh không có giới hạn tối đa về việc phát hành—nó chỉ xác minh chữ ký là hợp lệ. Đó chính là điểm dễ bị tổn thương.

Kẻ tấn công đã gửi khoảng 100-200 nghìn đô la USDC qua nhiều giao dịch. Sau đó, họ dùng khóa ký bị xâm phạm để ủy quyền phát hành 50 triệu USR trong một giao dịch, rồi 30 triệu trong giao dịch khác. Hai giao dịch, 80 triệu token, gần như không có thế chấp thực sự backing chúng. Từ đó, họ đổi sang wstUSR (một dạng derivative staking), hoán đổi sang các stablecoin khác, cầu nối sang ETH, rồi biến mất với khoảng 24 triệu đô la ETH cùng một số vị thế còn lại.

Điều điên rồ là tác động trên thị trường. USR giảm 80% khi vụ việc xảy ra—rơi xuống còn 0,20 đô la trước khi phục hồi quanh mức 0,56 đô la. Giao thức phải tạm dừng tất cả hoạt động ngay lập tức. Và điều đáng chú ý nhất là: toàn bộ cuộc tấn công này diễn ra trong vòng vài phút. Đến khi ai đó nhận ra có vấn đề, thiệt hại đã xảy ra.

Đây là loại sự cố nên thúc đẩy chúng ta suy nghĩ lại về hạ tầng của DeFi. Các hợp đồng thông minh hoạt động đúng như thiết kế. Vấn đề là các giả định về an ninh của hệ thống dựa quá nhiều vào hạ tầng đám mây và các thành phần ngoài chuỗi. Khi lớp đó bị xâm phạm, mã trên chuỗi không còn ý nghĩa gì nữa. Bạn cần các cơ chế phát hiện và phản ứng tự động theo thời gian thực—không phải là những thứ chỉ để làm đẹp, mà là những yếu tố bắt buộc.

Bài viết đề cập cách các hệ thống giám sát có thể đã phát hiện ra điều này. Nếu có một quy tắc kích hoạt cảnh báo khi tỷ lệ phát hành vượt quá giá trị bình thường gấp 1,5 lần, hai giao dịch khổng lồ đó đã được cảnh báo ngay lập tức. Hoặc nếu có chức năng tạm dừng tự động liên quan đến các sự kiện phát hành bất thường, giao thức có thể đã ngăn chặn thiệt hại trước khi 80 triệu token tràn ra thị trường.

Đây là lý do tại sao tôi luôn nói: hãy giả định rằng các cuộc xâm nhập sẽ xảy ra. Giả định rằng các khóa sẽ bị xâm phạm. Giả định rằng hạ tầng sẽ thất bại. Câu hỏi không phải là nếu, mà là khi nào. Và khi điều đó xảy ra, bạn cần các cơ chế có thể phát hiện và phản ứng nhanh hơn cả kẻ tấn công khai thác. Resolv đã có các cuộc kiểm tra, các biện pháp an ninh tiêu chuẩn, nhưng lại thiếu lớp phòng thủ theo thời gian thực có thể đã biến một sự cố nhỏ thành thiệt hại 25 triệu đô la hoặc ngăn chặn hoàn toàn.