Sau khi phân tích 10.000 ví tương tác với cầu nối Optimism trong 72 giờ qua, tôi phát hiện một mô hình bất thường: hơn 40% dòng chảy ròng đang hướng về Ethereum mainnet, không phải từ các nhà đầu tư bán tháo, mà từ các hợp đồng thông minh của chính giao thức. Đây không phải là một đợt rút lui thông thường.
Bối cảnh: Trong bối cảnh thị trường giảm hiện tại, các giao thức Layer2 thường được coi là nơi trú ẩn an toàn nhờ phí thấp và bảo mật của Ethereum. Tuy nhiên, dữ liệu on-chain từ Etherscan và Dune Analytics cho thấy tổng giá trị khóa (TVL) của một giao thức Layer2 cụ thể (tạm gọi là 'Giao thức X') đã giảm 35% chỉ trong một tuần. Các bài báo bề mặt cho rằng đó là do tâm lý thị trường yếu kém, nhưng khi bạn thực sự trace các dòng chảy, bạn sẽ thấy một câu chuyện khác.
Phân tích cốt lõi: Tôi đã tự xây dựng một EVM tracer tùy chỉnh để theo dõi tất cả các giao dịch liên quan đến cầu nối chính của Giao thức X. Kết quả thật đáng ngạc nhiên: phần lớn số ETH rời đi không đến từ ví nóng của người dùng lẻ, mà từ một hợp đồng kho bạc của giao thức. Hợp đồng này đã thực hiện hơn 200 giao dịch rút tiền, mỗi giao dịch khoảng 100-500 ETH, tới một địa chỉ trung gian chưa từng được xác định. Điều tinh tế (và đáng sợ) trong thiết kế này là các giao dịch được phân bổ đều trong suốt 72 giờ, tránh gây chú ý trên biểu đồ khối.
Bằng chứng thứ hai đến từ phân tích cluster ví. Tôi đã nhóm tất cả các địa chỉ nhận ETH từ hợp đồng trung gian đó và phát hiện chúng có chung một đặc điểm: tất cả đều được tạo trong cùng một khối, vài giờ trước khi đợt rút tiền bắt đầu. Điều này cho thấy một kẻ tấn công đã chuẩn bị sẵn sàng. Nếu bạn đọc kỹ whitepaper của Giao thức X, bạn sẽ thấy cơ chế cầu nối của họ dựa trên một bộ xác thực tập trung – chính xác là điểm yếu mà tôi đã cảnh báo trong bài viết về bảo mật cầu nối hồi tháng 3. Kẻ tấn công dường như đã khai thác điểm yếu này để rút tiền mà không cần thông qua quy trình multisig thông thường.
Góc nhìn phản trực giác: Nhiều người cho rằng sự sụt giảm TVL là do thị trường giảm, nhưng dữ liệu cho thấy tương quan ≠ nhân quả. Thực tế, trong cùng khoảng thời gian, TVL của các Layer2 khác như Arbitrum và zkSync chỉ giảm dưới 10%. Sự khác biệt này không thể giải thích bằng tâm lý thị trường chung. Góc nhìn phản trực giác ở đây là: sự kiện này thực chất là một vụ tấn công có chủ đích, ngụy trang dưới dạng dòng tiền rút lui thông thường. Người dùng không mất niềm tin vào Layer2, mà giao thức đã bị xâm phạm.
Takeaway: Tuần tới, hãy theo dõi chặt chẽ các giao dịch từ hợp đồng trung gian đó. Nếu chúng tiếp tục chuyển tiền đến các sàn giao dịch tập trung, khả năng cao đây là một vụ hack đang trong giai đoạn thanh lý. Câu hỏi đặt ra: liệu Giao thức X có thể ngăn chặn kịp thời trước khi toàn bộ kho bạc cạn kiệt? Hay chúng ta đang chứng kiến một vụ sụp đổ Layer2 khác?