Cuối tuần trước, tôi nhận được một cuộc gọi khẩn từ một nhà sáng lập quen biết. Anh nói rằng pool thanh khoản của dự án vừa mất gần 40% TVL chỉ trong vòng ba ngày. Không có hack, không có thanh lý hàng loạt, không có tin xấu. Người dùng chỉ đơn giản là rút tiền. Nhưng vấn đề mà anh ấy lo lắng không phải là dòng tiền ra, mà là hành vi của những kẻ săn mồi đang chờ đợi phía sau những giao dịch rút vốn đó.
Khi thị trường giảm, hầu hết mọi người chỉ nhìn vào giá token. Nhưng đối với một auditor như tôi, đây là lúc các lỗ hổng thực sự lộ diện. Thanh khoản rút đi, độ trễ oracle tăng lên, thanh lý xảy ra thường xuyên hơn, và các kẽ hở trong logic kinh tế của DeFi bắt đầu hở ra. Tôi đã kiểm toán hơn 200 hợp đồng thông minh trong suốt 6 năm qua, và tôi có thể nói rằng: không bao giờ có một mùa giảm nào an toàn về mặt bảo mật. Thực tế, những vụ tấn công lớn nhất trong lịch sử DeFi đều xảy ra trong hoặc ngay sau những đợt sụt giảm nghiêm trọng. Vì sao? Bởi vì thanh khoản mỏng làm cho các cuộc tấn công bằng flash loan trở nên rẻ hơn, và tâm lý hoảng loạn khiến người dùng bỏ qua các cảnh báo.
Khi bạn nhìn thấy một giao thức cho vay có TVL giảm 50%, điều đầu tiên tôi nghĩ đến không phải là cơ hội mua, mà là khả năng một kẻ tấn công có thể thao túng giá oracle với một khoản vay nhanh nhỏ hơn nhiều so với trước đây. Bởi vì lúc này, độ sâu thanh khoản của các sàn DEX chỉ còn một phần nhỏ so với thời kỳ đỉnh cao, nên chỉ cần một lượng vốn vừa phải là có thể đẩy giá đi đủ xa để kích hoạt thanh lý. Tôi đã từng mô phỏng kịch bản này trên một giao thức cho vay nổi tiếng năm 2022: chỉ cần 2 triệu USD thao túng một cặp token có TVL 200 triệu USD, và mạng lưới thanh lý đã sụp đổ trong 3 khối.
Bài học không nằm ở việc oracle có an toàn hay không, mà nằm ở việc nhóm phát triển có dám mô phỏng những điều kiện tồi tệ nhất của thị trường giảm hay không. Phần lớn các cuộc kiểm toán mà tôi tham gia đều giả định thanh khoản ở mức trung bình hoặc cao. Hiếm ai hỏi tôi câu: 'Nếu thanh khoản giảm 70%, liệu giao thức này có còn hoạt động không?' Đây chính là điểm mù—không chỉ của các nhóm phát triển mà còn của cả hệ sinh thái kiểm toán nói chung.
Trong bối cảnh thị trường hiện tại, tôi muốn phân tích ba mẫu lỗ hổng mà tôi nhận thấy đang gia tăng rõ rệt, không phải vì mã nguồn xấu đi, mà vì môi trường vận hành thay đổi quá nhanh.
Đầu tiên là thao túng giá oracle thông qua thanh khoản mỏng. Đây không phải là câu chuyện cũ. Các giao thức sử dụng Uniswap V3 TWAP thường được ca ngợi là an toàn, nhưng an toàn trong điều kiện thanh khoản dồi dào. Khi thanh khoản rút mạnh, TWAP có thể bị tấn công bằng cách đẩy giá spot trong một hoặc hai khối để làm lệch trung bình. Tôi đã chứng kiến một dự án cho vay nhỏ bị khai thác chính xác bằng kỹ thuật này vào tháng 9 năm 2024: kẻ tấn công dùng 1,2 triệu USD flash loan để tạo ra áp lực mua giả lên một pool nhỏ, TWAP bị đẩy lên 12% chỉ trong 3 khối, và sau đó hắn vay toàn bộ tài sản thế chấp từ giao thức trước khi giá điều chỉnh. Trong quá trình kiểm toán của mình, tôi luôn yêu cầu các nhóm phát triển thiết lập một 'kịch bản thanh khoản tối thiểu'—tức là mô phỏng giao thức khi TVL và depth thanh khoản ở mức thấp nhất lịch sử. Nếu họ không làm điều đó, tôi sẽ liệt kê vào danh sách rủi ro nghiêm trọng. Nếu giao thức của bạn vẫn hoạt động tốt khi thanh khoản chạm đáy, thì bạn mới có thể tự tin nói rằng mình an toàn trong mùa đông DeFi.
Mẫu lỗ hổng thứ hai nằm ở logic thanh lý trong các giao thức cho vay. Nhiều người nghĩ rằng thanh lý là một cơ chế tự động an toàn, nhưng thực tế tôi đã tìm thấy vô số biến thể lỗi trong cách tính toán ngưỡng thanh lý và thứ tự thực hiện. Điển hình là trường hợp một giao thức cho vay lớn vào năm 2023, nơi mà người thanh lý có thể thanh lý một phần vị thế nhưng không bị giới hạn số lần, dẫn đến việc liên tục thanh lý cùng một vị thế và rút sạch tài sản của người vay. Lỗi này không xuất hiện khi TVL cao vì tính thanh khoản của tài sản thế chấp đủ lớn, nhưng khi thị trường giảm, giá tài sản thế chấp rơi nhanh, và người thanh lý có thể kích hoạt một vòng xoáy thanh lý liên hoàn. Trong một cuộc kiểm toán tôi thực hiện cho một giao thức stablecoin năm 2024, tôi phát hiện ra rằng nếu giá trị tài sản thế chấp giảm 30% trong một ngày, một vị thế cụ thể có thể bị thanh lý 47 lần, mỗi lần trả phí cho người thanh lý, và người vay mất gần 100% tài sản chỉ sau 30 phút. Điều đáng sợ là giao thức này đã được ba công ty kiểm toán khác nhau phê duyệt. Bởi vì không ai mô phỏng một kịch bản giá giảm sâu với thanh khoản thấp. Họ chỉ kiểm tra logic từng chức năng riêng lẻ, chứ không kiểm tra tương tác giữa thanh lý và thanh khoản thị trường. Và đó chính là lý do tại sao tôi luôn nói với các team: hãy chạy mô phỏng stress test theo kịch bản lịch sử, đặc biệt là các sự kiện như Luna, FTX hoặc thậm chí là COVID crash. Nếu giao thức của bạn sống sót trong những giả định đó, tôi mới cảm thấy an tâm.
Thứ ba, và có lẽ nguy hiểm nhất trong mùa giảm này, là tấn công quản trị thông qua các đề xuất tưởng chừng vô hại. Tôi đã cảnh báo nhiều lần trên podcast của mình rằng quản trị phi tập trung đang trở thành vector tấn công lớn nhất. Khi thị trường giảm, các token quản trị rớt giá mạnh, điều này khiến việc mua đủ token để thông qua một đề xuất trở nên rẻ hơn bao giờ hết. Một đề xuất thay đổi tham số rủi ro, như giảm hệ số an toàn, có thể được biểu quyết một cách hợp pháp mà không ai chú ý. Tôi nhớ có một cuộc kiểm toán mà tôi tham gia năm 2024 với một DAO nổi tiếng: họ đã thay đổi một khoảng thời gian khóa (lock period) từ 48 giờ xuống còn 12 giờ, để 'tối ưu hiệu quả vốn'. Nhưng thay đổi tưởng chừng như vô thưởng vô phạt này đã tạo điều kiện cho kẻ tấn công vay token có quyền biểu quyết, bỏ phiếu ủng hộ một đề xuất độc hại, rút hết quỹ và trả token trước khi khóa hết hạn. Điều này xảy ra không phải vì mã nguồn có lỗi, mà vì cơ chế quản trị không được thiết kế cho môi trường giá token giảm. Khi giá trị của một phiếu bầu rẻ đi, rủi ro của mọi giao thức có governance sẽ tăng lên theo cấp số nhân. Đây là một sự thật khó chấp nhận, nhưng tôi chưa thấy nhiều nhóm phát triển chủ động giải quyết nó. Họ vẫn dùng cùng một bộ khung quản trị như khi token ở đỉnh.
Bây giờ, tôi muốn đi xa hơn và chỉ ra một điều phản trực giác mà nhiều người có thể không đồng ý: sự an toàn của một giao thức không đến từ những cuộc kiểm toán tốt, mà đến từ sự khiêm nhường của đội ngũ phát triển. Tôi đã thấy những dự án có một hoặc hai cuộc kiểm toán và hoạt động tốt trong nhiều năm, nhưng tôi cũng đã thấy những dự án spend hàng triệu USD vào kiểm toán mà vẫn sụp đổ. Lý do không nằm ở chất lượng của công ty kiểm toán, mà nằm ở việc đội ngũ có dám thừa nhận rằng mã nguồn của họ có thể có lỗi, và có xây dựng cơ chế để phát hiện lỗi đó hay không. Thị trường giảm là một bài kiểm tra khắc nghiệt cho sự khiêm nhường này. Khi doanh thu giảm, các team thường cắt giảm chi phí vận hành, bỏ qua việc theo dõi các cảnh báo, và trì hoãn việc nâng cấp các hợp đồng đã ký kết. Tôi không đổ lỗi cho họ, bởi vì áp lực sinh tồn là thật. Nhưng tôi muốn nói rằng: nếu bạn đã sống sót qua ba tháng thị trường giảm, bạn cần xem lại toàn bộ quy trình vận hành của mình với một con mắt hoàn toàn mới, không phải dựa trên những gì bạn đã làm trong quá khứ.
Một điểm mù mà tôi thường thấy ở các giao thức DeFi là họ tập trung quá nhiều vào việc ngăn chặn các cuộc tấn công tốn kém như hack, nhưng ít chú ý đến 'rò rỉ thầm lặng'—những khoản phí, trượt giá, chênh lệch giá và thanh lý không công bằng mà người dùng phải gánh chịu trong thị trường giảm. Một giao thức có thể an toàn ở mức hệ thống, nhưng người dùng của nó vẫn có thể mất 50% tài sản chỉ vì thanh khoản thấp và phí hoán đổi cao. Tôi nhớ có một lần tôi phân tích một cặp giao thức AMM trên Arbitrum, nơi mà phí trượt giá (slippage) trung bình tăng từ 0,1% lên 4,5% chỉ trong hai tuần của thị trường giảm. Nếu bạn là một nhà cung cấp thanh khoản đơn lẻ, bạn có thể bị tổn thương nặng nề hơn là một vụ tấn công trực tiếp. Điều này khiến tôi tự hỏi: các công cụ giám sát bảo mật hiện tại có thực sự theo dõi các chỉ số về chất lượng thanh khoản và chi phí giao dịch không, hay chỉ cảnh báo khi có giao dịch bất thường?
Trong bối cảnh này, tôi nghĩ rằng cộng đồng cần một cách tiếp cận mới về bảo mật. Kiểm toán tĩnh chỉ là một phần của câu chuyện. Điều quan trọng hơn là giám sát liên tục các biến số thị trường và mô phỏng các kịch bản căng thẳng. Tôi đã dành 5 năm để xây dựng AuditFlow và sau đó là AuditAI, và điều tôi học được rút ra là: không có một công cụ nào có thể thay thế sự đánh giá của con người trong các tình huống bất định. Những mô hình AI có thể phát hiện các lỗ hổng dựa trên mẫu, nhưng chỉ một auditor giàu kinh nghiệm mới có thể hỏi đúng câu hỏi: 'Điều gì sẽ xảy ra nếu thanh khoản bị kéo ra khỏi thị trường?'. Tôi hy vọng các dự án sẽ bắt đầu xem việc mô phỏng mùa đông như một phần bắt buộc trong quy trình phát triển, giống như họ chạy các bài testnet trước khi triển khai.
Đối với người dùng cuối, thông điệp của tôi rất đơn giản: hãy hỏi các giao thức mà bạn đang sử dụng rằng họ đã làm gì để chuẩn bị cho mùa đông này. Nếu họ không thể trả lời một cách chi tiết về thanh khoản và tác động của thanh lý, có lẽ bạn nên nghĩ lại. Bởi vì tôi đã chứng kiến quá nhiều người dùng mất tiền không phải vì hack, mà vì họ không hiểu cách một giao thức hoạt động khi thị trường sụp đổ. Trong khi các vụ hack lớn thường được bảo hiểm hoặc đền bù, những mất mát thầm lặng như thanh lý bất công, trượt giá cao, hay thao túng quản trị thường không có ai đứng ra bồi thường. Đây là một vấn đề mang tính cơ cấu mà tôi tin rằng sẽ ngày càng nghiêm trọng hơn nếu thị trường tiếp tục trì trệ.
Tuy nhiên, tôi cũng nhìn thấy những tia hy vọng. Một số giao thức đang bắt đầu xây dựng các quỹ bảo vệ thanh khoản, các cơ chế cảnh báo sớm, và thậm chí là các hợp đồng bảo hiểm phi tập trung. Nhưng tất cả những điều đó vẫn còn ở giai đoạn đầu. Trong khi đó, mùa đông DeFi vẫn chưa cho thấy dấu hiệu kết thúc. Và thị trường giảm không chỉ làm thay đổi giá token; nó thay đổi cách mà các kẻ tấn công tính toán lợi nhuận. Mỗi ngày trôi qua, một số giao thức yếu hơn sẽ lộ ra những vết nứt mới, và các auditor như tôi sẽ phải tiếp tục làm việc với các công cụ thô sơ trong khi những kẻ tấn công ngày càng tinh vi hơn.
Nhưng có một câu hỏi mà tôi vẫn thường tự hỏi mình trong suốt 10 năm làm bảo mật blockchain: Liệu chúng ta đang chạy đua với kẻ tấn công, hay chúng ta đang chạy đua với chính sự tự mãn của mình? Tôi nghĩ câu trả lời là cả hai. Và nếu chúng ta không thay đổi cách tiếp cận của mình—từ kiểm toán tĩnh sang mô phỏng liên tục, từ phòng thủ bị động sang giám sát chủ động—thì mùa đông tới sẽ không còn là chuyện ai mất tiền, mà là chuyện ai có thể sống sót. Tôi không biết chắc chắn giao thức nào sẽ an toàn nhất trong vài tháng tới, nhưng tôi biết chắc rằng những dự án nào coi bảo mật như một cuộc đua nước rút thay vì một cuộc duy trì liên tục sẽ là những dự án đầu tiên gục ngã khi băng tan.
