DeFi vừa trải qua cơn ác mộng bảo mật kéo dài 6 giờ.

Nhiều hơn $35M được cho là đã bị mất qua 3 vụ khai thác, trong đó sự cố lớn nhất liên quan tới AFX Trade, khi khoảng 24,15 triệu USD USDC bị rút cạn thông qua một cầu nối bên thứ ba.

Để rõ ràng: cầu nối chính thức của Arbitrum không bị xâm phạm. Vấn đề được báo cáo nằm trong cầu nối do giao thức vận hành và hệ thống phân quyền ủy quyền của nó.

Bài học lớn hơn rất đơn giản:

Bảo mật DeFi không chỉ dừng ở blockchain.

Nó còn phụ thuộc vào:

• Hạ tầng cầu nối
• Hợp đồng thông minh
• Khóa ký
• Trình xác thực
• Hệ thống backend
• Cơ chế kiểm soát rút tiền

Trong trường hợp AFX, cầu nối được cho là đã hoạt động đúng như thiết kế. Điểm yếu bị cáo buộc nằm ở lớp ủy quyền (authorization), nơi kẻ tấn công giành quyền kiểm soát các khóa cần thiết để phê duyệt việc rút tiền.

Một lỗ hổng khai thác khác được cho là đã rút khoảng 7,5 triệu USD từ Verus-Ethereum Bridge, đặt ra một câu hỏi khó chịu:

Liệu các giao thức đang giải quyết các lỗ hổng bảo mật nền tảng hay chỉ vá các lỗ hổng cho tới khi cuộc tấn công tiếp theo xảy ra?

Đây không phải là thất bại của Bitcoin hay Ethereum.

Đây là thất bại ở lớp ứng dụng.

Nhưng khi người dùng mất tiền của mình, sự khác biệt hầu như chẳng còn quan trọng.

Bài học thực sự:

Đừng chỉ tin vào chuỗi. Hãy hiểu hạ tầng đứng giữa bạn và tài sản của mình.

Vì trong DeFi, mắt xích yếu nhất có thể không phải là mã.

Nó có thể là khóa điều khiển nó.
#BrentReturnsTo100