Mỗi lần một cross-chain bridge bị tấn công, phần lớn câu chuyện kết thúc bằng một khoản lỗ không thể khắc phục và niềm tin sụp đổ. Nhưng lần này, Across Protocol lại nhận được 331.8 ETH từ chính kẻ tấn công – tương đương 62,39 triệu USD đã được gửi trả về hợp đồng chính. Con số này chỉ chiếm 17% tổng giá trị 360 triệu USD bị đánh cắp vài ngày trước trên Solana. Điều gì đang thực sự diễn ra đằng sau động thái bất thường này?
Across Protocol là một cross-chain bridge cho phép chuyển tài sản giữa Ethereum và Solana thông qua cơ chế chứng minh thanh khoản. Vụ hack diễn ra vào ngày 28/7, khi kẻ tấn công khai thác lỗ hổng trong hợp đồng thông minh phía Solana, rút ròng 360 triệu USD từ các pool thanh khoản. PeckShield xác nhận giao dịch trả lại diễn ra ngay sau đó, nhưng nguyên nhân kỹ thuật chưa được công bố.
Khi tôi đào sâu vào các giao dịch, tôi phát hiện một điểm thú vị: số tiền trả về được chuyển đến Hub Pool Owner multisig – cùng một địa chỉ quản lý thanh khoản chính. Điều này cho thấy kẻ tấn công không gửi tiền trực tiếp đến từng nạn nhân, mà thông qua quỹ dự trữ tập trung. Các token được trả lại là ETH trên Ethereum, không phải tài sản gốc trên Solana. Cấu trúc này gợi ý rằng kẻ tấn công có thể đang đàm phán với đội ngũ Across, hoặc đơn giản là muốn giảm thiểu rủi ro pháp lý bằng cách trả lại một phần.
Phần còn lại 83% vẫn nằm trong ví của kẻ tấn công. Đây là tín hiệu đáng ngại nhất. Nếu lỗ hổng thực sự đã được vá, tại sao kẻ tấn công không trả toàn bộ? Mỗi lần tôi theo dõi các vụ tấn công cross-chain bridge trong quá khứ – như Wormhole (320 triệu USD) hay Ronin (600 triệu USD) – chỉ khi lỗ hổng được sửa hoàn toàn thì kẻ tấn công mới có động lực trả lại toàn bộ để tránh truy tố. Ở đây, hành động trả một phần có thể là một nước cờ: tạo thiện chí để giảm nhẹ hình phạt, hoặc đơn giản là muốn chuyển hướng sự chú ý khỏi các hoạt động rửa tiền khác.
Contrarian angle: Giới truyền thông và cộng đồng đang vội vàng gọi đây là 'happy ending'. Nhưng dưới góc nhìn của một data detective, việc trả lại 17% không hề làm giảm rủi ro kỹ thuật. Thực tế, nó còn nguy hiểm hơn: nếu lỗ hổng chưa được vá mà kẻ tấn công lại tiếp tục khai thác, hoặc tồn tại lỗ hổng thứ hai, thì việc trả một phần tạo ra cảm giác an toàn giả tạo, khiến người dùng tiếp tục sử dụng bridge mà không kiểm tra lại code audit mới nhất. Tương quan giữa số tiền trả lại và mức độ an toàn không phải là nhân quả. Một kẻ tấn công thông minh có thể 'tặng' một phần để kéo dài thời gian rút tiền lớn hơn.
Takeaway cho tuần tới: Đừng nhìn vào số ETH trả lại, hãy nhìn vào hành vi của các token chưa bị trả. Nếu trong 7 ngày tới không có thêm giao dịch trả lại, hoặc nếu Across Protocol không công bố báo cáo post-mortem chi tiết (bao gồm code fix và audit độc lập), thì đây là tín hiệu rằng lỗ hổng vẫn còn đó – và bạn nên rút thanh khoản khỏi bridge này. Câu hỏi thực sự không phải 'Sao họ trả lại?', mà là 'Tại sao họ chỉ trả một phần?'