Một vi phạm an ninh nghiêm trọng đã tác động tới hệ sinh thái Sui blockchain, khi kẻ tấn công rút đi khoảng $200 triệu từ các bể thanh khoản trên Cetus, sàn giao dịch phi tập trung lớn nhất của mạng.
Khai thác này đã dẫn đến thiệt hại trên diện rộng với hàng chục token trên mạng Sui, làm dấy lên lo ngại về an ninh của các cơ chế giá oracle trên các nền tảng Lớp 1 mới nổi.
Tấn công đã dẫn đến bán tháo mạnh nhiều token dựa trên Sui. Các coin meme như Lofi (LOFI), Sudeng (HIPPO) và Squirtle (SQUIRT) chứng kiến giá trị gần như tan rã, tổn thất từ 76% đến 97% chỉ trong vòng một giờ. Token của chính Cetus giảm 53%. Phân tích chuỗi từ DEX Screener cho thấy 46 token Sui đã chịu tổn thất hai chữ số trong 24 giờ sau sự cố.
Dù giá token giảm mạnh và cơ sở hạ tầng chủ chốt bị đe dọa, token SUI nội bộ cho thấy độ bền bỉ, tăng 2.2% cùng thời điểm, có thể nhờ vào việc mua vào khi giảm hoặc động lực thị trường rộng hơn.
Theo công ty an ninh blockchain Cyvers, kẻ tấn công đã thực hiện chiến lược thao túng oracle tinh vi. Tận dụng lỗ hổng trong hợp đồng thông minh của Cetus, họ giới thiệu các token giả mạo để làm sai lệch các dự trữ bể thanh khoản và bóp méo nguồn cấp dữ liệu giá.
"Sự khai thác dựa vào các token giả tạo ra dữ liệu định giá sai cho các bể AMM của DEX," Deddy Lavid, CEO Cyvers, cho biết. "Sự thao túng này cho phép kẻ tấn công rút đi các tài sản hợp pháp như SUI và USDC từ nhiều bể thanh khoản."
Vụ việc nổi bật lên nguy cơ đã biết trong tài chính phi tập trung (DeFi): sự phụ thuộc vào các oracle trên chuỗi để cung cấp dữ liệu giá. Trong trường hợp này, kẻ tấn công có khả năng điều chỉnh đường cong giá nội bộ mà không cần dựa vào các oracle nguồn cấp giá truyền thống như Chainlink, cho thấy thiếu sót kiến trúc sâu sắc hơn.
Di chuyển chuỗi chéo: Rửa tiền thu được
Sau khi khai thác, kẻ tấn công bắt đầu di chuyển số tiền bị đánh cắp. Dữ liệu blockchain tiết lộ khoảng $61.5 triệu USDC đã được nhanh chóng chuyển đổi qua Ethereum. Khoảng $164 triệu vẫn còn ở trong một ví dựa trên Sui. Tính đến thời điểm xuất bản, chưa có tài sản nào được phục hồi và các nhà điều tra trên chuỗi tiếp tục theo dõi chuyển động của tiền.
Việc chuyển đổi các tài sản bị đánh cắp thành USDC nhấn mạnh tầm quan trọng liên tục của stablecoin trong các hoạt động rửa tiền. Điều này cũng thổi bùng những ý kiến chỉ trích lâu dài đối với các nhà phát hành stablecoin như Circle và Tether vì thời gian phản hồi chậm trễ trong việc đóng băng các khoản tiền bị chiếm đoạt.
Các nhà phát hành Stablecoin bị chỉ trích
Các cơ quan giám sát ngành công nghiệp, bao gồm ZachXBT và Cyvers, đã bày tỏ lo ngại về tiến độ phản ứng chậm của nhà phát hành USDC Circle. Vào tháng Hai, Circle mất hơn năm giờ để đóng băng khoản tiền liên quan đến khai thác Bybit, một sự chậm trễ mà các chuyên gia tin rằng đã cung cấp th\uời gian thoát hiểm quan trọng cho kẻ tấn công. Tether cũng đã phải đối mặt với sự giám sát tương tự về sự chậm trễ trong việc đóng băng các tài khoản độc hại.
"Chúng tôi đã phát hành cảnh báo thời gian thực trong nhiều vụ hack, bao gồm cả vụ này, nhưng phản hồi từ các nhà phát hành thường đến quá muộn," Lavid nói. "Sự chậm trễ này tạo ra những khe hở mà các can thiệp hậu kỳ không còn ý nghĩa."
Sự chỉ trích gia tăng đã thúc đẩy những cuộc trò chuyện mới về các lựa chọn thay thế phi tập trung cho stablecoin và nhu cầu về các cơ chế đóng băng tự động có thể giảm thời gian phản hồi nhân sự trong các trường hợp khẩn cấp.
Phản hồi và điều tra của giao thức
Cetus đã nhanh chóng dừng lại các hợp đồng thông minh của mình sau khi phát hiện tấn công. Giao thức đã công khai thừa nhận "sự cố" trên mạng xã hội và thông báo rằng các nhóm nội bộ của họ đang tiến hành điều tra pháp lý.
Các tin nhắn nội bộ rò rỉ từ Discord của Cetus cho thấy nguyên nhân của cuộc tấn công có thể là một lỗi trong logic oracle của nó. Tuy nhiên, những người theo dõi trên mạng xã hội đã bày tỏ sự hoài nghi, lưu ý rằng các lỗ hổng trong logic AMM và kiến trúc bể thanh khoản thường có thể ngụy trang thành các vấn đề oracle.
"Đây không phải là lỗi oracle định giá theo nghĩa thông thường," một nhà phát triển DeFi giấu tên cho biết. "Đó là vấn đề hệ thống với cách một số DEX tính toán giá token nội bộ trong các hồ mỏng giao dịch."
Tác động đối với hệ sinh thái rộng lớn của Sui
Sui, một blockchain Lớp 1 được phát triển bởi các kỹ sư cũ của Meta, đã tự định vị là một lựa chọn thay thế hiệu suất cao cho Ethereum. Nó đã ra mắt với sự chú ý đáng kể và đã thu hút được sự quan tâm của các nhà phát triển nhờ ngôn ngữ lập trình Move và mô hình thực hiện giao dịch song song.
Tuy nhiên, khai thác này hiện làm nảy sinh câu hỏi về sự trưởng thành của ngăn xếp DeFi của nó. Trong khi giao thức cơ sở của Sui không bị xâm phạm, tấn công nhấn mạnh rằng các lỗ hổng trong các ứng dụng quan trọng như DEX có thể gây nguy hiểm hệ thống cho các chuỗi mới hơn.
Việc giá token giảm mạnh cũng cho thấy thanh khoản hạn chế và sự tiếp xúc của nhà đầu tư cá nhân cao, những đặc điểm của hệ sinh thái non trẻ. Khả năng khôi phục có thể phụ thuộc vào việc Cetus và các thành viên hệ sinh thái khác có thể khôi phục lòng tin và thanh khoản nhanh chóng như thế nào.
Phản ứng của cộng đồng và ngành công nghiệp
Cựu CEO Binance, Changpeng Zhao (CZ), đã thừa nhận sự việc trên mạng xã hội, nói rằng nhóm của ông "đang làm những điều có thể để giúp Sui." Mặc dù bình luận thiếu chi tiết, nó ám chỉ rằng Binance có thể đang hỗ trợ giám sát hoặc nỗ lực phục hồi.
Phản ứng rộng rãi của ngành công nghiệp tập trung vào nguy cơ của sự phát triển không được kiểm tra trong các giao thức DeFi mà không có sự đầu tư tương ứng vào bảo mật. Các nhà phân tích lưu ý rằng việc chạy đua để thu hút thanh khoản và khối lượng người dùng thường dẫn đến việc triển khai các hợp đồng thông minh chưa được kiểm tra hoặc được kiểm tra nhẹ.
"Điều này không phải là duy nhất của Sui hoặc Cetus," một giám đốc ngành cho biết. "Đó là một mô hình lặp đi lặp lại trên mọi Lớp 1 và làn sóng DeFi – đổi mới di chuyển nhanh hơn bảo mật và người dùng phải trả giá."
Hậu quả và giám sát lâu dài
Khai thác có khả năng làm dấy lên sự giám sát quy định xung quanh cầu nối chuỗi chéo, các giao thức DeFi và hoạt động của stablecoin. Khi các cơ quan quản lý toàn cầu tiếp tục soạn thảo các khuôn khổ mới cho tiền điện tử, các sự cố nổi bật như thế này cung cấp lý do biện minh cho việc giám sát chặt chẽ hơn.
Nó cũng hồi sinh câu hỏi về bảo hiểm và bảo vệ người dùng trong DeFi. Với không có biện pháp khắc phục rõ ràng cho người dùng bị ảnh hưởng bởi khai thác, áp lực có thể gia tăng cho các giao thức áp dụng các cơ chế bảo hiểm trên chuỗi hoặc đóng góp vào các quỹ phục hồi phi tập trung.
Một số nhà phân tích cho rằng những sự cố như vậy có thể thúc đẩy quá trình chuyển đổi nhanh chóng sang các ứng dụng chuỗi và các hệ sinh thái DeFi tích hợp dọc hơn, nơi bảo mật và hạ tầng oracle được kiểm soát chặt chẽ hơn.
Một mô hình quen thuộc trong DeFi
Thao túng Oracle vẫn là một trong những vector tấn công dai dẳng nhất trong DeFi. Các khai thác tương tự đã được sử dụng để rút hàng triệu từ các giao thức trên Ethereum, BNB Chain, Avalanche và Solana. Phương pháp khác nhau nhưng nguyên tắc vẫn giống nhau: thao túng cơ chế khám phá giá để khai thác giá trị.
Khai thác này nhấn mạnh nhu cầu về các hệ thống oracle mạnh mẽ hơn, bao gồm mô hình lai tích hợp cả dữ liệu trên chuỗi và ngoài chuỗi, các cơ chế giới hạn tốc độ để ngăn chặn thao túng, và sự áp dụng rộng rãi hơn của các cầu dao có thể tạm ngưng hoạt động khi phát hiện bất thường giá.
Suy nghĩ cuối cùng
Đối với Sui, những tuần tới sẽ rất quan trọng. Cách phản ứng của Cetus và các cầu thủ lớn khác trong hệ sinh thái có khả năng sẽ quyết định liệu niềm tin của nhà phát triển và người dùng có thể được khôi phục hay không. Nếu thanh khoản vẫn thấp và các dự án lớn tạm dừng phát triển, chuỗi có nguy cơ mất đà, nhất là khi cạnh tranh từ các Lớp 1 khác ngày càng tăng cường.
Trong khi đó, cộng đồng DeFi rộng hơn một lần nữa nhận được lời nhắc nhở rằng các hệ thống không cần phép đòi hỏi không chỉ sự đổi mới mà còn cả kỷ luật - đặc biệt khi nói đến thiết kế hợp đồng thông minh, an ninh oracle và phối hợp phản ứng sự kiện.