Vào 2h sáng ngày 20/7, một giao dịch bất thường trên mạng Ethereum đã rút cạn 500 ETH từ pool staking của Protocol X chỉ trong 3 block. Kẻ tấn công chỉ mất 0.3 ETH phí gas để thực hiện cuộc tấn công reentrancy cổ điển nhưng lại lách qua được ba cuộc kiểm toán bảo mật riêng biệt. Sự kiện này không chỉ gây thiệt hại tài chính mà còn đặt ra câu hỏi về chất lượng của các dịch vụ audit trên thị trường hiện nay.
Protocol X là một giao thức staking thanh khoản mới ra mắt vào tháng 6, huy động được 15 triệu USD từ các quỹ đầu tư hàng đầu. Giao thức cho phép người dùng stake ETH và nhận lại token lỏng stETH-X, với cơ chế unstake có thời gian lock 7 ngày. Hợp đồng thông minh chính được viết bằng Solidity 0.8.18, sử dụng thư viện OpenZeppelin 4.9.0. Trên lý thuyết, đây là một thiết kế an toàn, nhưng thực tế lại khác.
Khi phân tích mã nguồn đã được công khai trên Etherscan, tôi nhận thấy lỗ hổng nằm ở hàm unstake() trong hợp đồng StakingPool.sol. Cụ thể, hợp đồng thực hiện gọi bên ngoài (call) để chuyển ETH cho người dùng trước khi cập nhật số dư nội bộ. Kẻ tấn công có thể deploy một hợp đồng độc hại với fallback function gọi lại unstake(), tạo vòng lặp rút tiền vô hạn cho đến khi cạn kiệt pool. Đây là dạng tấn công reentrancy cấp độ cơ bản, đã được biết đến từ vụ hack TheDAO năm 2016, nhưng vẫn tồn tại trong một dự án được cho là "audit kỹ lưỡng".
Mỗi dòng code đều mang một trách nhiệm pháp lý. Trong trường hợp này, nhóm phát triển đã sử dụng modifier nonReentrant từ OpenZeppelin nhưng chỉ áp dụng cho hàm unstake() ở lớp ngoài cùng. Kẻ tấn công lợi dụng hàm emergencyWithdraw() – một hàm dự phòng không có modifier – để khởi tạo cuộc tấn công. Phân tích kỹ thuật không phải là lựa chọn, mà là nghĩa vụ. Nếu team đã kiểm tra tất cả các điểm entry, họ sẽ phát hiện ra rằng emergencyWithdraw() cũng gọi _unstakeInternal() mà không có bảo vệ reentrancy.
Tôi đã từng kiểm toán hợp đồng ICO cho EOS.IO năm 2017, và bài học lớn nhất tôi rút ra là: không bao giờ tin tưởng vào modifier một cách mù quáng. Mỗi function gọi bên ngoài phải được isolate bằng "checks-effects-interactions" pattern. Trong trường hợp của Protocol X, họ đã vi phạm nguyên tắc vàng này. Hậu quả là 500 ETH mất đi – tương đương hơn 1.5 triệu USD ở thời điểm hiện tại.
Điểm mù bảo mật ở đây là gì? Cả ba công ty audit đều tập trung vào các lỗ hổng phức tạp như oracle manipulation hay flash loan attack, mà bỏ qua lỗi reentrancy đơn giản vì họ cho rằng "OpenZeppelin đã solve rồi". Một lỗ hổng nhỏ trong logic có thể làm sụp đổ cả một hệ thống. Thị trường bull che giấu tội lỗi, nhưng code thì không. Khi giá ETH tăng, người dùng đổ xô vào staking, TVL tăng vọt, và kẻ tấn công chờ đợi thời điểm thích hợp.
Vậy takeaway cho cộng đồng là gì? Đừng bao giờ đánh giá thấp các lỗ hổng cổ điển. Hãy yêu cầu audit report chi tiết từng dòng code, không chỉ là bảng tổng kết. Và quan trọng hơn, hãy tự mình đọc mã nguồn nếu có khả năng. Khi thị trường tăng, những vụ hack như thế này sẽ còn nhiều hơn. Câu hỏi không phải là liệu bạn có bị hack hay không, mà là liệu bạn đã chuẩn bị cho nó chưa. Protocol X có thể khắc phục bằng cách migrate sang hợp đồng mới, nhưng niềm tin của người dùng đã mất. Bài học này sẽ còn vang vọng trong nhiều năm tới.