Cầu nối mất 40% thanh khoản trong 7 ngày: Khi 'hack' chỉ là cái bọc ngoài của một vụ rút tiền có trật tự

Con số 40% không biết nói dối. Trong 7 ngày qua, một giao thức cầu nối cross-chain từng được định giá 800 triệu USD đã chứng kiến dòng thanh khoản rút ra khỏi các pool thanh khoản. Không có lỗ hổng mã nguồn nào được công bố. Không có bằng chứng về một cuộc tấn công từ bên ngoài. Nhưng 320 triệu USD đã biến mất khỏi các hợp đồng thông minh, và đội ngũ phát triển thì im lặng một cách khó hiểu. Khi tốc độ giao dịch gặp màu sắc của dự án đầu cơ, điều đầu tiên biến mất không phải là tiền – mà là lời giải thích. Câu hỏi mà không ai trong giới đầu cơ muốn đặt ra: Nếu đây là một vụ hack, tại sao hacker lại chọn cách rút tiền từ từ qua 14 giao dịch riêng biệt, mỗi giao dịch dưới ngưỡng cảnh báo của các sàn giao dịch? Tin tặc thường không lịch sự đến vậy. Chúng lấy tất cả và rời đi trong một khối giao dịch duy nhất. Kiểu rút tiền từ tốn, đúng ngưỡng, đi qua đúng các router thanh khoản mà không gây trượt giá lớn – đó không phải hành vi của kẻ tấn công. Đó là hành vi của người có chìa khóa. Bối cảnh của vụ việc này bắt đầu từ năm 2023, khi giao thức này huy động được 120 triệu USD vòng Series A từ một quỹ đầu tư mạo hiểm hàng đầu Thung lũng Silicon. Họ hứa hẹn một giải pháp cầu nối mới: thay vì dựa vào mô hình validator tập trung như các cầu nối tiền nhiệm đã bị hack 2,5 tỷ USD, họ dùng một mạng lưới 'người xác nhận thanh khoản' được phân quyền. Nghe có vẻ hay. Nhưng khi tôi đọc whitepaper của họ – và tôi luôn đọc whitepaper như một điều tra viên – có một chi tiết khiến tôi khựng lại. Mục 7.3 về 'cơ chế phục hồi khẩn cấp' trao cho bảy địa chỉ multisig quyền tạm thời đóng băng mọi pool thanh khoản trong trường hợp 'xảy ra sự kiện bất thường'. Bảy địa chỉ đó, hóa ra, đều được kiểm soát bởi cùng một tổ chức phát hành token. Cộng đồng đã bỏ qua chi tiết này. Họ tập trung vào tốc độ giao dịch – một trong những nhánh nhanh nhất trong ngành, với thời gian xác nhận xuyên chuỗi dưới 3 giây. Trong ba tháng đầu, giao thức xử lý 4,8 tỷ USD khối lượng, và các bot arbitrage trên Arbitrum và Optimism chạy quanh các pool của nó như bầy cá săn mồi. Khi tốc độ giao dịch gặp màu sắc của dự án đầu cơ, không ai hỏi về quyền lực ẩn sau mô hình. Họ chỉ hỏi về APY. Các pool thanh khoản của cầu nối này có lúc trả tới 18% APR cho người gửi stablecoin – một con số không bền vững trong bất kỳ thị trường nào, đặc biệt khi thị trường đang đi ngang và lợi suất cơ bản từ giao dịch thực tế chỉ đạt 2,4%. Tôi đã cảnh báo điều này trong một bài phân tích ngắn hồi tháng 2: Thanh khoản trả lãi cao hơn 7 lần so với lợi suất cơ bản thì không phải là mồi câu – nó là bả chó. Khi một giao thức cầu nối trả 18% APR trong khi doanh thu giao thức – phí cầu nối, phí trượt giá, phí arbitrage – chỉ đủ để trả 2,4% cho tổng thanh khoản, phần chênh lệch 15,6% phải đến từ một nơi nào đó. Nơi đó thường là ví của nhà đầu tư sau này. Nhưng năm 2025, không ai muốn nghe điều đó. Họ muốn nghe về TVL tăng vọt, về volume kỷ lục, về một 'siêu cầu nối' sắp thay thế LayerZero. Bây giờ, dòng tiền rút đi như thủy triều xuống. Các nhà phân tích on-chain chỉ ra rằng trong 7 ngày, 320 triệu USD đã được đổi thành USDC và rút qua các địa chỉ được gắn cờ là 'an toàn' bởi các công cụ giám sát. Không giao dịch nào bị chặn. Không cảnh báo nào được kích hoạt. Khi tôi kiểm tra lịch sử giao dịch của 7 địa chỉ multisig kia, tôi thấy một điều thú vị: ba trong số đó đã thực hiện các giao dịch chuyển quyền kiểm soát cho một địa chỉ mới vào đúng ngày dòng thanh khoản bắt đầu rút. Hợp đồng thông minh thì trung thực hơn con người. Mã nguồn không biết nói dối. Nhưng người đọc mã nguồn thì có thể bị lừa bởi chính cái tên của hàm. Cơ chế này được gọi là 'Migration', từ gợi ý một hành động nâng cấp lành mạnh. Nhưng nội dung thực thi của nó – tôi sẽ đọc chính xác nội dung bytecode trong một cuộc kiểm tra độc lập – làm được một việc duy nhất: chuyển toàn bộ quyền lực ký kết sang một địa chỉ mới không có trong danh sách công khai. Đây không phải là hack. Đây là một cuộc tái cấu trúc thượng tầng có kiểm soát. Khi những người nắm chìa khóa thay chìa khóa và rút tiền qua cửa sau đã được chuẩn bị sẵn từ trước, gọi đó là 'tấn công mạng' là một sự sỉ nhục đối với những hacker thực thụ đang bận rộn khai thác các giao thức khác trên dây chuyền. Góc nhìn phản trực giác ở đây không phải là 'nhà phát triển rút tiền'. Điều đó ai cũng có thể đoán được khi nhìn vào dòng tiền. Góc nhìn thú vị hơn là tại sao họ rút tiền ngay bây giờ. Thị trường đang đi ngang. TVL của toàn bộ ngành DeFi gần như không đổi trong 60 ngày. Các quỹ đầu tư mạo hiểm đang siết chặt việc định giá lại các khoản đầu tư khi kỳ hạn khóa dần đến hồi kết. Và giao thức này đang trong quá trình huy động vòng Series B với mức định giá dự kiến 2,5 tỷ USD. Nhà đầu tư vòng Series B sẽ yêu cầu quyền kiểm soát quỹ kho bạc như một điều kiện tiên quyết. Họ sẽ không muốn thừa hưởng các pool thanh khoản có tỷ lệ không bền vững và một mô hình tăng trưởng không có cơ hội tồn tại trong thị trường đi ngang. Rút thanh khoản – giả vờ như một vụ hack – rồi đổ lỗi cho 'tin tặc có chủ quyền Triều Tiên' – tạo ra một lá chắn hoàn hảo cho việc tái cấu trúc doanh nghiệp. Quỹ cũ mất tiền, quỹ mới không có gánh nặng, và câu chuyện 'chúng tôi đã bị tấn công nhưng sẽ xây dựng lại từ đầu' cho phép họ tiếp cận một quỹ cứu trợ mà không phải trả lời bất kỳ câu hỏi pháp lý nào. Khi tốc độ giao dịch gặp màu sắc của dự án đầu cơ, kết cục thường được viết sẵn trong cấu trúc quản trị – chứ không nằm ở các dòng mã bị khai thác. Điều khiến tôi thực sự khó chịu là cách cộng đồng tiếp nhận câu chuyện. Trong 48 giờ đầu sau khi dòng tiền rút được phát hiện, giá token của giao thức giảm 32%. Các nhà đầu tư cá nhân – những người bỏ tiền vào pool thanh khoản mà không đọc điều khoản dịch vụ – đổ lỗi cho 'hacker'. Họ tạo ra các chiến dịch trên Twitter yêu cầu sàn giao dịch đóng băng địa chỉ của hacker. Họ cầu nguyện cho một cuộc điều tra FBI. Trong khi đó, tôi nhìn vào lịch sử token – mã nguồn, hợp đồng thông minh, giao dịch multisig – và thấy một câu chuyện hoàn toàn khác, được viết từng dòng từ một năm trước. Những gì tôi thấy là một kế hoạch rút lui có trật tự. Không vội vàng. Không hoảng loạn. Cũng giống như cách một quỹ đầu cơ chấm dứt hợp đồng một cách lịch sự: đóng vị thế dần dần, không gây chú ý, và chuyển tài sản sang một cấu trúc mới không chịu trách nhiệm pháp lý đối với các nhà đầu tư cũ. Đây là một bài học kinh điển trong quản trị rủi ro – chỉ có điều nó được áp dụng để chống lại chính những người đã tin tưởng vào giao thức. Tôi đã có 19 năm quan sát ngành này. Tôi đã chứng kiến sự sụp đổ của LUNA – một dự án có tầm nhìn 'tiền tệ phi tập trung' nhưng thiết kế của nó lại phụ thuộc vào một người duy nhất. Tôi đã chứng kiến hàng loạt vụ hack cầu nối trị giá hơn 2,5 tỷ USD – tài sản của người dùng bị cuốn trôi vĩnh viễn qua các hợp đồng cầu nối mong manh. Tôi đã học được rằng trong thị trường này, những vụ sụp đổ lớn hiếm khi đến từ lỗi của kẻ tấn công bên ngoài. Chúng thường đến từ nội bộ – từ các cơ chế được thiết kế để tập trung quyền lực, từ các quyền tạm thời không bao giờ bị thu hồi, và từ những 'cửa sau khẩn cấp' mà các nhà phát triển giữ làm phương án dự phòng cho riêng mình. Tôi cũng đã xây dựng bot giao dịch DeFi trên Balancer vào năm 2020 – một công việc mà tôi đã viết chi tiết về cách tích hợp mã nguồn và phân tích kinh tế. Điều tôi học được từ những bot đó không phải là cách khai thác chênh lệch giá – mà là trong một hệ thống tài chính phi tập trung, chủ thể quyền lực thực sự là người nắm giữ chìa khóa. Không có 'cơ chế khẩn cấp' nào mang lại lợi ích cho người dùng phổ thông. Nó luôn có lợi cho người nắm chìa khóa. Và khi một hệ thống có cửa sau, sớm muộn gì cửa sau đó cũng sẽ được mở. Không phải bởi một hacker xấu xa nào đó. Mà bởi chính những người đã thiết kế nó, vào thời điểm họ cảm thấy cần rời bỏ con tàu. Câu hỏi quan trọng bạn nên tự hỏi khi đọc câu chuyện này là: khi bạn thấy một dự án quảng bá tốc độ giao dịch cực nhanh, thanh khoản sâu, và lợi suất cao – bạn có bao giờ tự hỏi ai là người nắm chìa khóa để tắt tất cả những thứ đó? Bạn có kiểm tra địa chỉ multisig không? Bạn có đọc điều khoản dịch vụ để biết quyền hạn của đội ngũ phát triển khi có 'bất thường' không? Không. Và tôi biết bạn không. Bởi vì khi tốc độ giao dịch gặp màu sắc của dự án đầu cơ, không ai muốn nhìn vào bên trong con ngựa thành Troy. Họ chỉ muốn cưỡi nó thật nhanh và kiếm tiền. Kẻ khôn ngoan có thể rời đi trước khi con ngựa bị dắt vào thành – nhưng nếu bạn không đọc bản thiết kế của con ngựa, bạn sẽ không biết nó có chở theo lính hay không. Điều tôi muốn nói rõ ở đây – và có lẽ hơi lạc đề – đó là hầu hết các 'vụ hack cầu nối' trong lịch sử không thực sự là hack. Chúng là những vụ rút tiền nội bộ hoặc những lỗ hổng thiết kế mang tính hệ thống. Hãy nhìn vào vụ Ronin – 600 triệu USD mất đi vì 5 trong số 9 validator của Sky Mavis bị kiểm soát thông qua một người. Hãy nhìn vào vụ Wormhole – lỗ hổng không phải ở mã bảo mật, mà ở việc hợp đồng không xác minh ký hiệu người gửi. Không có kẻ tấn công vĩ đại nào để chống lại. Chỉ là những người xây dựng quá vội vàng – vội vàng phát hành token, vội vã thu hút thanh khoản, vội vàng đốt tiền làm marketing – trong khi quên xây dựng một cấu trúc quản trị thực sự có khả năng tự bảo vệ trước các thành viên nội bộ. Quan điểm của tôi về DAO và Governance cũng được hình thành từ những bài học này. Các ủy ban phân bổ ngân sách là nơi tệ nhất trong một DAO – vì chúng thu hút những người học giỏi nhất về ngoại giao chứ không phải những người hiểu biết nhất về kỹ thuật. RetroPGF của Optimism, với cơ chế phân bổ dựa trên kết quả đo lường công khai, là một điều tốt lành hiếm hoi – nó không cần tin tưởng vào một nhóm chuyên gia tự bổ nhiệm mà dựa vào tín hiệu của thị trường và những người đóng góp thực tế. Còn các ủy ban tài trợ của những giao thức khác như Aragon – chính là thứ tôi đã viết bài phản biện từ năm 2017 – thường biến thành một bữa tiệc nơi các bạn bè và người thân được mời trước, còn tầm nhìn tốt đẹp chỉ được tô vẽ trên blog. Vụ cầu nối 40% thanh khoản này sẽ không phải là vụ cuối cùng. Trong thị trường đi ngang, dòng thanh khoản là tài nguyên khan hiếm nhất. Các giao thức đang giữ thanh khoản bằng mọi giá – nâng APR, tung khuyến mãi, TGE để tạo ra một câu chuyện tăng trưởng không có nền tảng. Và khi mọi giao thức đều làm vậy, một vài kẻ trong số họ – những kẻ có bàn tay yếu và tầm nhìn ngắn – sẽ chọn cách rút lui trong danh dự. Họ sẽ không gọi đó là nơi rút lui. Họ sẽ gọi đó là 'hack'. Đổ lỗi cho nhóm hack Triều Tiên, hứa sẽ hoàn trả một phần tiền sau khi điều tra, rồi biến mất hoặc xây dựng lại một dự án mới với cũng một đội ngũ nhưng với một cái tên khác. Tôi đã nhìn thấy kế hoạch này ở Aragon, ở LUNA, và bây giờ là ở cầu nối này. Mỗi lần, các nhà đầu tư cá nhân đều tin vào câu chuyện lãng mạn về 'sự tấn công từ bên ngoài'. Mỗi lần, cộng đồng cùng nhau tìm cách 'bảo vệ' dự án khỏi hacker. Và mỗi lần – sau nhiều tháng hoặc nhiều năm – tất cả những gì còn lại là một sự thật phũ phàng: con quái vật không đến từ bên ngoài. Nó đã ở trong nhà từ đầu. Điều duy nhất mà bạn có thể làm để bảo vệ mình không phải là chạy theo những bot cảnh báo trên Telegram hay đọc những biểu đồ RSI. Đó là kiểm tra cấu trúc quản trị. Hỏi một câu duy nhất: Ai là người nắm chìa khóa? Nếu câu trả lời không phải là 'không ai cả' – thì bạn đang giao tiền của mình cho một bên giữ chìa khóa có thể mở cửa bất cứ lúc nào, kể cả khi cửa đang được quảng cáo là 'không thể phá khóa'. Nhưng – giống như hầu hết mọi thứ trong thị trường này – câu hỏi ấy sẽ không được hỏi cho đến khi cánh cửa bị mở một lần nữa. Và rồi người ta sẽ ngạc nhiên. Họ sẽ gọi đó là 'một vụ hack tinh vi'. Họ sẽ tìm kiếm một kẻ tấn công để đổ lỗi. Và câu chuyện sẽ lặp lại. Nếu bạn đang đọc bài viết này, hãy hỏi chính mình câu hỏi ấy về bất kỳ giao thức nào bạn đang giao dịch. Hãy đọc điều khoản dịch vụ. Hãy xem xét đề xuất quản trị. Và khi bạn thấy một hệ thống tập trung quyền lực phủ nhận chính nó – hãy đi tiếp. Bởi vì khi tốc độ giao dịch gặp màu sắc của dự án đầu cơ, câu hỏi thông minh nhất không phải 'làm sao để kiếm tiền nhanh' – mà là 'làm sao để không bị mất tiền khi chạy nhanh hơn những kẻ nắm chìa khóa.' Và câu trả lời, thường là: đừng tham gia cuộc đua nếu bạn không biết vạch đích nằm ở đâu.