Tôi đang xem xét một smart contract staking mới từ một dự án Việt Nam. Chỉ mất 3 phút để phát hiện lỗ hổng. Nhưng đội ngũ phát triển đã bỏ qua nó suốt 6 tháng.
Tối thứ Ba, TVL của giao thức đó giảm từ 12 triệu USD xuống còn 6 triệu. Không có tin tức nổi bật. Admin im lặng. Telegram chỉ toàn câu hỏi "rug pull?". Tôi quyết định đào mã nguồn.
Dự án này cung cấp cơ chế restaking trên mạng Ethereum, lấy cảm hứng từ EigenLayer. Người dùng gửi ETH, nhận lại token đại diện. Phần thưởng được tính toán dựa trên tỷ lệ phần trăm và thời gian lock. Trên giấy tờ: đơn giản, hiệu quả. Trong mã nguồn: 3 lỗ hổng nghiêm trọng.
Lỗ hổng đầu tiên nằm ở hàm calculateRewards. Nó sử dụng block.timestamp để tính thời gian. Vấn đề: không có kiểm tra tính đơn điệu của timestamp trên các chain có block time thay đổi (và ngay cả trên Ethereum cũng có thể bị thao túng nhẹ bởi validator). Một bot arbitrage có thể lợi dụng sự chênh lệch dưới 1 giây để claim reward nhiều lần.
Lỗ hổng thứ hai nghiêm trọng hơn: hàm unstake không hoàn trả token gốc nếu người dùng unstake trong khoảng thời gian lock tối thiểu. Thay vào đó, nó chỉ chuyển token đại diện đi. Tôi kiểm tra logic – đây chính là lỗi "reentrancy không được bảo vệ" trong quá trình hoàn trả. Kẻ tấn công có thể gọi lại unstake nhiều lần trước khi cập nhật số dư.
Lỗ hổng thứ ba là về phí giao thức. Một biến feePercent được khai báo là public và có thể thay đổi bởi admin. Nhưng trong hàm withdrawFees, không có kiểm tra xem admin có thể rút nhiều hơn số dư thực tế hay không. Kết quả: admin có thể rút toàn bộ TVL nếu muốn.
Ba lỗ hổng này kết hợp cho phép kẻ tấn công (hoặc admin) rút cạn pool trong một giao dịch duy nhất. Đó chính xác là điều đã xảy ra: một địa chỉ gọi hàm unstake 7 lần trong cùng một block, rút gần 6 triệu USD. Không có hack phức tạp. Chỉ cần đọc mã nguồn.
Điểm mù bảo mật ở đây là niềm tin thái quá vào "audit đã được thực hiện". Tôi kiểm tra lại: dự án này đã audit bởi một công ty nhỏ, báo cáo chỉ phát hiện 2 lỗi mức trung bình, bỏ qua 2 lỗi trầm trọng. Lỗi reentrancy kinh điển nhưng auditor bỏ qua vì họ không kiểm thử edge case với block.timestamp và unstake trong cùng block.
Dự án này không chỉ là câu chuyện của một team Việt Nam non kinh nghiệm. Nó phản ánmột mô thức nguy hiểm: các giao thức staking mới copy-paste code từ các dự án lớn nhưng bỏ qua các chi tiết bảo mật quan trọng. EigenLayer đã dành hàng tháng để audit và test; các dự án clone không làm điều đó.
Câu hỏi tôi để lại: Khi cơn sốt restaking lan sang Việt Nam, bao nhiêu dự án nữa sẽ sụp đổ vì cùng một lỗi? Hãy đọc mã nguồn trước khi ký giao dịch.