Một tweet tưởng vô hại từ một tài khoản ẩn danh. Chỉ 140 ký tự, nhưng nó đã phơi bày một lỗ hổng chết người trong hợp đồng thông minh của giao thức DeFi mới nổi – NexusFi. Tôi đã nhìn thấy nó lúc 2h14 sáng giờ Kuala Lumpur. Và tôi biết: đêm nay sẽ không có giấc ngủ nào cho những ai đang stake LP của mình.
Context: Tại sao là bây giờ? NexusFi là một giao thức yield farming vừa ra mắt trên Arbitrum, hứa hẹn APY 1200% cho pool USDC-ETH. TVL của nó đã tăng từ 0 lên 45 triệu USD chỉ trong 3 ngày. Cộng đồng đang phấn khích. Nhưng tôi, với 16 năm kinh nghiệm săn lỗ hổng, biết rằng APY quá cao thường đi kèm với một cái bẫy. Đặc biệt khi đội ngũ NexusFi không công bố audit từ bất kỳ công ty uy tín nào. Họ chỉ có một bài viết trên Medium và một tweet từ một KOL tên là 'CryptoAlchemist' – người mà sau này tôi phát hiện ra là bot do chính họ tạo ra.
Core: Phân tích kỹ thuật – lỗ hổng lộ ra từ một dòng code Tweet đó trích dẫn một dòng trong smart contract: function withdraw(uint256 amount) public { require(balanceOf[msg.sender] >= amount); _transfer(msg.sender, amount); }. Nghe có vẻ bình thường. Nhưng nếu nhìn kỹ, không có cập nhật số dư trước khi chuyển token. Điều này cho phép reentrancy attack: kẻ tấn công có thể gọi withdraw nhiều lần trong cùng một giao dịch, rút toàn bộ quỹ trước khi số dư được cập nhật. Đây là lỗi kinh điển từ thời DAO hack năm 2016. Thế mà NexusFi vẫn mắc phải.
Tôi lập tức kiểm tra mã nguồn trên Etherscan. Đúng như dự đoán. Hợp đồng không có nonReentrant modifier. Tôi chạy thử mô phỏng trên Remix. Chỉ cần 5 bước: (1) gửi 1 ETH vào pool, (2) gọi withdraw với amount=1 ETH, (3) trong fallback function của contract tấn công, gọi lại withdraw với amount=1 ETH, (4) lặp lại 10 lần, (5) kết thúc. Kết quả: rút được 10 ETH từ pool chỉ với 1 ETH gốc.
Tin tức lan nhanh. Trong vòng 1 giờ, TVL của NexusFi giảm từ 45 triệu xuống còn 12 triệu. Những kẻ săn mồi đã rút tiền trước. Những người dùng chậm chân mất trắng. Tôi nhìn vào dòng thời gian: tweet đầu tiên lúc 2h14, giao dịch tấn công đầu tiên lúc 2h17, chỉ cách nhau 3 phút. Tốc độ của 'báo săn tin' đã quyết định sinh tử.
Contrarian: Góc nhìn chưa ai nói – lỗ hổng không chỉ nằm ở code Mọi người đổ lỗi cho nhà phát triển NexusFi. Nhưng tôi thấy vấn đề sâu hơn: hệ sinh thái Arbitrum Layer2 đang khuyến khích sự liều lĩnh. Với hàng chục Layer2 ra mắt mỗi tháng, thanh khoản bị phân mảnh. Các dự án nhỏ không đủ tiền audit, nhưng vẫn có thể huy động hàng triệu USD từ người dùng khao khát yield. Đây không phải là scaling, mà là cắt nhỏ thanh khoản vốn đã khan hiếm. Và mỗi mảnh vỡ đó đều ẩn chứa một lỗ hổng.
Thêm một chi tiết gây sốc: tôi đã kiểm tra ví của 'CryptoAlchemist' – KOL đó. Nó thuộc về một địa chỉ đã nhận 50 ETH từ NexusFi trước khi tweet được đăng. Vậy là họ mua bot để quảng bá, rồi tự tay rút tiền trước khi lỗ hổng bị khai thác. KYC? Tất cả chỉ là vở kịch. Bạn có thể mua vài ví đã qua KYC với giá 200 USD trên dark web. Chi phí tuân thủ được chuyển hoàn toàn cho người dùng trung thực.
Takeaway: Lần theo dấu vết tiếp theo Tôi đã theo dõi dòng tiền từ NexusFi. Một trong những ví tấn công đã chuyển 500 ETH sang cầu nối Avalanche. Tôi đang đào sâu. Nhưng câu hỏi thực sự là: bạn có đang nắm giữ LP của bất kỳ pool nào có APY trên 500% không? Nếu có, hãy kiểm tra mã nguồn ngay bây giờ. Hoặc ít nhất, hãy đợi bài viết tiếp theo của tôi. Bởi vì đằng sau mỗi đỉnh cao là vết nứt không ai ngờ.
— Bùi Tiến, 7x24 Market Surveillance Analyst, Kuala Lumpur