Năm nay, hacker không trộm tiền mà đang “phá nhà”.

Trong khi mọi người vẫn chăm chăm nhìn biểu đồ nến và kẻ đường xu hướng, một cuộc tháo dỡ có hệ thống nhắm vào nền tảng niềm tin của toàn ngành tiền mã hóa đã âm thầm hoàn tất. Đừng nghĩ đây chỉ là lỗ hổng tình cờ của một dự án nào đó. Xâu chuỗi các sự kiện trong năm nay lại, bạn sẽ thấy một mạng lưới siết chặt đến nghẹt thở.

Lớp lót đáy của CEX: Khóa riêng tư vẫn còn, nhưng tiền đã mất

Vở hài kịch phi lý lớn nhất năm thuộc về Binance, sàn giao dịch tập trung bị đánh cắp tới 6,3 tỷ USD trong một vụ tấn công kinh hoàng. Hacker không động đến khóa riêng tư mà xâm nhập máy tính xách tay của một kỹ sư DevOps, rồi thông qua cơ chế EIP-7702, rút cạn tài sản liên tục như ma cà rồng.

Bitget bị đánh cắp khoảng 388 triệu USD. Hacker xâm nhập hệ thống hậu trường và trực tiếp làm giả lệnh rút tiền.

Nhưng đây vẫn chưa phải điều đáng sợ nhất. Đáng sợ nhất là Gate.io (芝麻开门).

Tháng 7, tài sản trị giá 1,7 triệu USD của một người dùng bị rút sạch. Nền tảng cho biết người dùng này đã vượt qua xác thực đa yếu tố và quy trình không có sai sót; nhưng người dùng khẳng định chưa từng nhận được mã xác minh. Vụ việc 1,7 triệu USD này trực tiếp châm ngòi cho sự sụp đổ niềm tin — trong tuần sau khi sự việc xảy ra, dòng tiền ròng chảy khỏi Gate lên tới 200 triệu USD.

Hiểu ra chưa? Trước nỗi hoảng loạn mang tính hệ thống, người dùng trừng phạt nền tảng luôn nhanh hơn tốc độ nền tảng chứng minh mình vô tội. Dù khóa riêng tư không bị mất, chỉ một nút vận hành chưa được kiểm tra kỹ lưỡng cũng đủ phá hủy niềm tin được xây dựng trên mức định giá hàng chục tỷ USD.

Nỗi bất lực của AAVE: Không bị tấn công, nhưng vẫn bị “xuyên thủng”

Mùa hè này, các blue-chip DeFi đã hiểu thế nào là “cháy thành thì cá dưới ao cũng chịu họa”.

Hợp đồng thông minh của Aave không bị hack trong năm nay, nhưng với tư cách là trung tâm cho vay lớn nhất, nó đã trở thành “máy rút tiền” và “bãi rác” của hacker.

Hiệu ứng dây chuyền thứ nhất: Hacker gửi 60 triệu USDT từ số tiền đánh cắp ở Binance vào Aave, rồi vay thẳng khoảng 46 triệu USD bằng ETH để tẩu tán. Aave buộc phải khẩn cấp đóng băng các thị trường V3/V4 và hạ hạn mức vay hàng tỷ USD.

Hiệu ứng dây chuyền thứ hai: Sau khi KelpDAO bị hack 292 triệu USD vào tháng 4, nợ xấu và dòng tiền bẩn ồ ạt đổ vào pool stETH của Aave. Tỷ lệ sử dụng vốn vọt lên trên 85% chỉ trong vài giờ, token AAVE lao dốc trong một ngày, còn TVL bốc hơi 8 tỷ USD trong chớp mắt.

Aave có lỗi gì? Không có lỗi gì cả. Chỉ vì quá lớn, nó đã trở thành “thùng rác tối hậu” chứa rủi ro của toàn ngành. Khi hacker dùng tiền phi pháp làm tài sản thế chấp để đưa vào hệ thống, tính kết hợp mà DeFi tự hào lại biến thành điểm yếu chí mạng, cho phép hacker tùy ý xuyên thủng hệ thống.

Vòng xoáy nghiền nát: cầu nối xuyên chuỗi và ví phần cứng

Hãy nhìn lên on-chain. KelpDAO làm giả thông điệp xuyên chuỗi, cầu nối xuyên chuỗi zkLink gặp lỗi xác thực, còn sidechain Liquid tự dưng tạo ra tiền. Cầu nối xuyên chuỗi đã trở thành máy in tiền của hacker.

Nghiêm trọng hơn, lỗ hổng bộ tạo số ngẫu nhiên của ví Coldcard khiến khóa riêng tư có thể bị khôi phục mà không cần chạm vào thiết bị, dẫn đến gần 114 triệu USD bị đánh cắp; các vụ “tấn công bằng cờ lê” nhằm vào giới nhà giàu tiền mã hóa ở ngoài đời — đột nhập và dùng bạo lực để ép cung — cũng gia tăng.

Bạn nghĩ chuyển coin vào ví lạnh là an toàn rồi sao? Phần cứng có thể gặp lỗi, còn chính sự an toàn của bạn có thể đang bị nhắm đến.

Nỗi kinh hoàng lớn nhất: Dòng tiền cấp quốc gia hội tụ

Thám tử on-chain ZachXBT đã vạch trần mắt xích nguy hiểm nhất: 6,3 tỷ USD bị đánh cắp từ Binance và 388 triệu USD bị đánh cắp từ Bitget lại được chuyển qua THORChain đến cùng một địa chỉ rửa tiền.

Điều này có nghĩa đây không phải hacker hành động đơn lẻ, mà là lực lượng hacker cấp quốc gia (TraderTraitor) đang tiến hành một cuộc tấn công áp đảo có hệ thống. Họ tấn công đồng thời CEX, DeFi và cầu nối xuyên chuỗi, trong khi phe phòng thủ lại rời rạc, mạnh ai nấy đóng băng.

Đóng băng là cầm máu, không phải thuốc giải

Tether đóng băng 2 tỷ USD, còn Binance dùng tiền của chính mình để lấp khoản lỗ 6,3 tỷ USD. Nhưng thị trường đã bỏ phiếu bằng cách tháo chạy: 230.000 người bị thanh lý, Bitcoin rơi xuống dưới 77.000 USD.

Điều này truyền đi một tín hiệu lạnh lùng: điểm kết thúc của các sự cố an ninh giờ đã trở thành vấn đề bảng cân đối kế toán. Không có tiền đền bù, niềm tin sẽ sụp đổ.

Lời cuối, xin hỏi mọi người một câu hỏi vô cùng thực tế:

Khi hệ thống hậu trường của CEX có thể bị làm giả, pool DeFi có thể bị tiền bẩn làm ô nhiễm, cầu nối xuyên chuỗi có thể bị giả mạo, thậm chí số ngẫu nhiên của ví lạnh cũng có thể mất tác dụng…

Trong danh mục tài sản hiện tại của bạn, có bao nhiêu phần thực sự được xây dựng trên tiền đề “không phụ thuộc vào bất kỳ điểm tin cậy đơn lẻ nào”?

Bạn sẽ tiếp tục tin vào các sàn giao dịch “quá lớn để sụp đổ”, rút tài sản về ví lạnh, hay phân tán chúng trên nhiều chuỗi?

Hãy chia sẻ chiến lược chống hacker của bạn ở phần bình luận, xem ai mới thực sự là “bậc thầy sinh tồn”.