Audit log cho thấy 40% giao dịch trên Nexus Layer2 được gửi từ cùng một địa chỉ IP. Địa chỉ đó trùng với IP của đội ngũ phát triển. Tôi mở mã nguồn ra kiểm tra, và những gì tôi tìm thấy không làm tôi ngạc nhiên.
Nexus Layer2 là dự án mới nổi trong mùa hè này, hứa hẹn một sequencer thực sự phi tập trung. Họ công bố white paper dài 50 trang, với sơ đồ kiến trúc đẹp mắt. Nhưng tôi không tin vào white paper. Tôi tin vào mã nguồn. Tôi clone repo về, chạy thử node trên máy local. Sau 3 ngày debug, tôi phát hiện ra điều quan trọng: trong file sequencer/config.go, có một biến hardcode SEQUENCER_PUBLIC_KEY – và nó chỉ trỏ đến một ví duy nhất. Không có bất kỳ cơ chế bầu chọn hay thay đổi nào. Điều này có nghĩa là mọi giao dịch đều phải được ký bởi key đó. Một điểm thất bại duy nhất.
Tôi tiếp tục kiểm tra hợp đồng bridge. Hợp đồng L1ERC20Bridge.sol gọi hàm finalizeDeposit chỉ khi nhận được chữ ký từ sequencer. Nhưng sequencer lại là một người duy nhất. Nếu key đó bị lộ, kẻ tấn công có thể rút toàn bộ tài sản từ L2 về L1 mà không cần sự đồng thuận nào. Tôi ước tính TVL hiện tại của Nexus là 50 triệu USD. Một lỗ hổng nghiêm trọng.
Audit thì dễ, trust thì khó. Đây không phải là vấn đề kỹ thuật. Việc xây dựng một sequencer phi tập trân với bằng chứng gian lận hoặc zk-proof là khả thi. Vấn đề là kinh tế: vận hành một mạng lưới sequencer đòi hỏi chi phí. Nexus chọn cách đơn giản: chạy một node duy nhất và gọi nó là “phi tập trung hóa dần dần”. Nhưng trong thực tế, họ đã đánh đổi bảo mật lấy tốc độ ra mắt.
Góc nhìn phản trực giác: cộng đồng thường nghĩ rằng “phi tập trung hóa sequencer” là bước tiếp theo tất yếu của mọi Layer2. Nhưng dữ liệu cho thấy hầu hết các dự án top 10 hiện tại vẫn dùng sequencer tập trung. Vấn đề không phải là “khi nào” mà là “liệu có bao giờ”. Chi phí để đạt được phi tập trung thực sự (với hàng chục node độc lập) có thể làm tăng phí giao dịch lên gấp 5 lần. Nexus đã chọn con đường dễ dàng.
Takeaway: Nếu Nexus không thay đổi kiến trúc trong 6 tháng tới, tôi dự đoán sẽ có một cuộc tấn công khi TVL chạm mốc 200 triệu USD. Lỗ hổng này sẽ bị khai thác, không phải bởi hacker, mà bởi chính sự tập trung hóa. Câu hỏi đặt ra: liệu chúng ta có sẵn sàng trả giá cao hơn cho sự an toàn, hay tiếp tục chấp nhận rủi ro để có phí rẻ? Tôi chọn câu trả lời từ dữ liệu.