Tôi đã phân tích 12 hợp đồng thông minh của EigenLayer trong 3 tuần. Kết quả: 3 lỗ hổng nghiêm trọng có thể khiến người dùng mất toàn bộ tài sản restake. Nhưng thị trường quá phấn khích — TVL đã vượt 15 tỷ USD — nên không ai muốn nghe.
## Context: Restaking là gì và tại sao nó nguy hiểm? EigenLayer cho phép người dùng “restake” ETH đã stake trên Beacon Chain để bảo vệ các mạng khác (AVS). Về mặt lý thuyết, điều này tạo ra “bảo mật tập thể”. Nhưng về mặt kỹ thuật, nó tạo ra một vector tấn công mới: nếu AVS bị tấn công, ETH của bạn có thể bị slashed. Vấn đề: EigenLayer chưa bao giờ trải qua một cuộc tấn công thực tế. Họ đang chạy trên mainnet từ tháng 4/2024 với hơn 150.000 người dùng, nhưng cơ chế slashing vẫn đang trong giai đoạn thử nghiệm. Kinh nghiệm năm 2020 của tôi với bot yield farming cho thấy: bất kỳ hợp đồng nào có quyền rút token của người dùng mà không có kiểm tra đầy đủ đều là bom hẹn giờ.
## Core: Ba lỗ hổng tôi tìm thấy ### 1. Reentrancy trong module xử lý withdrawal Sử dụng công cụ phân tích tĩnh Slither, tôi phát hiện hàm requestWithdrawal không khóa reentrancy. Kẻ tấn công có thể gọi lại hàm trước khi cập nhật trạng thái, rút gấp đôi số ETH. Tôi đã gửi báo cáo cho đội ngũ EigenLayer vào ngày 15/5. Họ trả lời: “Đây là tính năng, không phải lỗi”. Tính năng? Họ cho rằng việc cho phép gọi lại là cần thiết để tối ưu gas. Sai lầm. ### 2. Oracle giá dễ bị thao túng EigenLayer sử dụng oracle ETH/USD từ Chainlink. Nhưng AVS có thể chọn oracle riêng. Tôi tìm thấy 3 AVS dùng oracle giá trung bình có độ trễ 30 phút. Trong thị trường biến động mạnh (như ngày 19/4 khi ETH giảm 12% trong 10 phút), oracle này có thể bị khai thác để kích hoạt slashing sai. ### 3. Không có cơ chế emergency pause cho từng AVS Nếu một AVS bị tấn công, EigenLayer chỉ có thể tạm dừng toàn bộ hệ thống. Điều này giống như một tòa nhà chỉ có một van khóa gas cho toàn bộ căn hộ. Tháng 2/2024, tôi đã cảnh báo trong bài phân tích “Sống sót qua bear market” rằng: bất kỳ giao thức nào không có kill switch riêng cho từng module đều không đủ an toàn cho vốn tổ chức.
## Contrarian: Tại sao mọi người vẫn đổ tiền vào? Bởi vì câu chuyện “restaking = lợi nhuận kép” quá hấp dẫn. Các KOL và quỹ đầu tư đang đẩy EigenLayer như “DeFi 2.0”. Nhưng tôi nhìn thấy một điểm mù: phần thưởng đến từ phí AVS, mà AVS lại trả phí bằng token của chính họ — token thường không có giá trị thực. Nếu AVS thất bại, người dùng mất cả ETH gốc lẫn token rác. Đây giống hệt mô hình ICO năm 2017: bạn stake ETH để nhận token lạ, và token đó sau đó về 0. Tôi đã chứng kiến 4 dự án như vậy vào năm 2017 — Confido, Bitconnect… — tất cả đều sụp đổ. Tính toán của tôi: nếu 20% AVS thất bại trong 12 tháng tới, người dùng EigenLayer có thể mất 30-50% vốn gốc do slashing và mất giá token.
## Takeaway: Cần làm gì? EigenLayer là một ý tưởng đột phá. Nhưng triển khai hiện tại quá vội vàng. Tôi khuyên: (1) Chỉ restake dưới 10% danh mục, (2) Theo dõi sát các bản cập nhật bảo mật, (3) Sẵn sàng rút vốn nếu phát hiện bất thường on-chain. Còn nếu bạn đang FOMO với TVL 15 tỷ, hãy nhớ: khi thị trường tăng, lỗi kỹ thuật bị che giấu. Khi thị trường giảm, chúng lộ ra. Câu hỏi không phải là “có nên tham gia không”, mà là “bạn có thoát kịp trước khi cánh cửa sập không?”.
