#GIWA #跨链安全 Sự kiện chuỗi giả dễ bị một con số đánh lừa nhất: DYORSWAP tuyên bố đã bồi hoàn hơn 200 ETH, vậy nên có người sẽ hỏi: liệu tổn thất có sắp được bù đắp xong không? Theo tôi, điều quan trọng hơn hiện nay không phải là tính trước một tỷ lệ bồi hoàn thật “đẹp”, mà là làm rõ những tài sản thuộc về nhóm nạn nhân nào, và từng khoản bồi hoàn liệu có thực sự đã về tài khoản.
Dòng thời gian quyết định vì sao hai vấn đề này không thể trộn lẫn. Phía dự án mới công bố rằng mạng và cầu mượn sử dụng “GIWA Chain ID 9134” được triển khai lúc 02:10 ngày 27/9 (giờ Bắc Kinh); mạng này có thể vận hành, ghi lô giao dịch vào Ethereum và người dùng vẫn có thể giao dịch trên đó. Nó không chỉ “nhảy ra” một trang web giả. Khoảng 1.335 địa chỉ chuyển vào cầu khoảng 767,65 ETH, và dự án cho biết trong đó khoảng 766,25 ETH sau đó đã bị chuyển đi. Hai con số này là tổng theo “quy mô cầu”, không đồng nghĩa với mức lỗ ròng đã được đối chiếu từng người.
Trước đó, thông tin chỉ dừng ở mức “sẽ bù” và quy tắc bù: các địa chỉ cầu nối bị ảnh hưởng với số tiền dưới 5 ETH sẽ được xử lý theo tỷ lệ 40% số tiền cầu nối; các khoản lớn hơn cần thẩm tra riêng. Bài viết dài hôm nay đã đẩy việc xử lý đi xa hơn một bước: DYORSWAP nói đã phân phát cho người dùng hơn 200 ETH và đưa ra lối vào để kiểm tra on-chain các khoản bồi thường. Nhưng “dự án tuyên bố đã phân phát” và “mỗi nạn nhân thực tế có phần thiếu hụt đã được xác nhận” vẫn là hai việc khác nhau; việc lấy 200 chia cho 766,25 cũng không thể gọi ngay là “tỷ lệ bồi hoàn tổng thể”, vì tử và mẫu có thể không cùng đối tượng hay cùng chuẩn tính.
Điều đáng chú ý hơn là đội ngũ cho rằng họ đã tái dựng trạng thái cầu nối, mua/bán và quỹ tiền bằng các lô giao dịch trước đó được đăng lên Ethereum từ chuỗi giả, và việc dừng hoạt động trước khoảng hai phút khiến một số giao dịch không được ghi lên chain, dẫn đến thiếu dữ liệu. Nhận định của tôi là: giai đoạn tiếp theo của sự kiện này, điểm then chốt không phải là lặp lại việc chuỗi giả “thuyết phục” đến mức nào, mà là liệu danh sách bồi hoàn có thể được đối chiếu từng khoản bởi bên ngoài hay không—tập hợp địa chỉ nạn nhân, lý do loại trừ, kết quả khiếu nại các khoản lớn, và các giao dịch đã về tài khoản—có thể tạo thành cùng một bộ sổ sách có thể kiểm chứng hay không.
Tất nhiên còn có ranh giới. Các số liệu dự án hiện đưa ra—1335, 767,65, 766,25 và “đã bồi hơn 200 ETH”—đều nên được coi trước hết là “chuẩn công bố” của họ; hành vi ví có thể cung cấp manh mối, nhưng không thể chỉ dựa vào khoản gửi sớm nhất hoặc khoản cầu nối lớn để kết luận địa chỉ đó thuộc về kẻ tấn công. Nếu các giao dịch chi tiết được công bố sau này có thể khớp với toàn bộ danh sách nạn nhân, tôi sẽ nâng đánh giá về tiến độ triển khai; nếu danh sách lâu dài không đối chiếu được, thì dù tổng mức bồi hoàn tăng thêm cũng khó chứng minh việc hoàn thành công bằng.
Nếu bạn là người bị ảnh hưởng, bạn nghĩ điều nào quan trọng hơn: công khai trước phương pháp tính theo từng người đã được ẩn danh, hay cần tăng tốc để tiền về tài khoản? Đặc biệt trong lúc dữ liệu bị thiếu ở hai phút cuối, bạn sẽ chấp nhận tiêu chuẩn bổ chứng nào?
Dòng thời gian quyết định vì sao hai vấn đề này không thể trộn lẫn. Phía dự án mới công bố rằng mạng và cầu mượn sử dụng “GIWA Chain ID 9134” được triển khai lúc 02:10 ngày 27/9 (giờ Bắc Kinh); mạng này có thể vận hành, ghi lô giao dịch vào Ethereum và người dùng vẫn có thể giao dịch trên đó. Nó không chỉ “nhảy ra” một trang web giả. Khoảng 1.335 địa chỉ chuyển vào cầu khoảng 767,65 ETH, và dự án cho biết trong đó khoảng 766,25 ETH sau đó đã bị chuyển đi. Hai con số này là tổng theo “quy mô cầu”, không đồng nghĩa với mức lỗ ròng đã được đối chiếu từng người.
Trước đó, thông tin chỉ dừng ở mức “sẽ bù” và quy tắc bù: các địa chỉ cầu nối bị ảnh hưởng với số tiền dưới 5 ETH sẽ được xử lý theo tỷ lệ 40% số tiền cầu nối; các khoản lớn hơn cần thẩm tra riêng. Bài viết dài hôm nay đã đẩy việc xử lý đi xa hơn một bước: DYORSWAP nói đã phân phát cho người dùng hơn 200 ETH và đưa ra lối vào để kiểm tra on-chain các khoản bồi thường. Nhưng “dự án tuyên bố đã phân phát” và “mỗi nạn nhân thực tế có phần thiếu hụt đã được xác nhận” vẫn là hai việc khác nhau; việc lấy 200 chia cho 766,25 cũng không thể gọi ngay là “tỷ lệ bồi hoàn tổng thể”, vì tử và mẫu có thể không cùng đối tượng hay cùng chuẩn tính.
Điều đáng chú ý hơn là đội ngũ cho rằng họ đã tái dựng trạng thái cầu nối, mua/bán và quỹ tiền bằng các lô giao dịch trước đó được đăng lên Ethereum từ chuỗi giả, và việc dừng hoạt động trước khoảng hai phút khiến một số giao dịch không được ghi lên chain, dẫn đến thiếu dữ liệu. Nhận định của tôi là: giai đoạn tiếp theo của sự kiện này, điểm then chốt không phải là lặp lại việc chuỗi giả “thuyết phục” đến mức nào, mà là liệu danh sách bồi hoàn có thể được đối chiếu từng khoản bởi bên ngoài hay không—tập hợp địa chỉ nạn nhân, lý do loại trừ, kết quả khiếu nại các khoản lớn, và các giao dịch đã về tài khoản—có thể tạo thành cùng một bộ sổ sách có thể kiểm chứng hay không.
Tất nhiên còn có ranh giới. Các số liệu dự án hiện đưa ra—1335, 767,65, 766,25 và “đã bồi hơn 200 ETH”—đều nên được coi trước hết là “chuẩn công bố” của họ; hành vi ví có thể cung cấp manh mối, nhưng không thể chỉ dựa vào khoản gửi sớm nhất hoặc khoản cầu nối lớn để kết luận địa chỉ đó thuộc về kẻ tấn công. Nếu các giao dịch chi tiết được công bố sau này có thể khớp với toàn bộ danh sách nạn nhân, tôi sẽ nâng đánh giá về tiến độ triển khai; nếu danh sách lâu dài không đối chiếu được, thì dù tổng mức bồi hoàn tăng thêm cũng khó chứng minh việc hoàn thành công bằng.
Nếu bạn là người bị ảnh hưởng, bạn nghĩ điều nào quan trọng hơn: công khai trước phương pháp tính theo từng người đã được ẩn danh, hay cần tăng tốc để tiền về tài khoản? Đặc biệt trong lúc dữ liệu bị thiếu ở hai phút cuối, bạn sẽ chấp nhận tiêu chuẩn bổ chứng nào?
