Tuần trước, một giao thức cầu nối cross-chain vừa công bố vòng gọi vốn 12 triệu USD. Token của nó tăng 300% sau 48 giờ. Tôi mở Etherscan, đọc hợp đồng cầu nối. Dòng 247: hàm finalizeTransfer không có kiểm tra msg.sender. Một backdoor cổ điển.
Bối cảnh: Thị trường đang tăng. Mọi người đổ xô vào cầu nối để kiếm lợi từ chênh lệch gas giữa các L2. Các dự án cầu nối mọc lên như nấm sau mưa, hứa hẹn tốc độ, phí thấp, và “bảo mật quân sự”. Nhưng tôi đã thấy quá nhiều: 20 ETH mất vì một hợp đồng cười.
Core insight: Đa số cầu nối cross-chain hiện tại sử dụng mô hình “validator set” tập trung. Họ khoe mã nguồn mở, nhưng logic cốt lõi – quyền ký xác nhận giao dịch – nằm trong tay vài cá nhân. Tôi phân tích 5 cầu nối hàng đầu: tất cả đều có một hàm adminEmergencyPause có thể bị kích hoạt bất cứ lúc nào. Đó không phải lỗi, đó là chủ ý. Backdoor không bao giờ là lỗi, là chủ ý.
Contrarian angle: Tôi hiểu sự lạc quan. Cầu nối là hạ tầng cần thiết cho đa chuỗi. Nhưng phần lớn đội ngũ đang chạy theo TVL, không phải bảo mật. Họ thuê audit từ các công ty bé, audit chỉ check surface, không động đến lớp kinh tế. Khi audit xong, họ thêm một “upgrade” sau đó để vá lỗi… thực chất là thêm backdoor.
Takeaway: Đừng nhìn vào TVL hay partner. Hãy đọc dòng code setTrustedRemote. Ai có quyền gọi nó? Nếu là một multisig 2/3, bạn đang gửi tiền vào két sắt mà chìa khóa do người lạ giữ. Lần tới khi bạn bridge 10 ETH, hãy nhớ: cây cầu đó có thể sập bất cứ lúc nào, và không ai cứu bạn.
Phân tích của tôi dựa trên báo cáo audit của cầu nối XY, kết hợp với kinh nghiệm 7 năm audit hợp đồng thông minh. Tôi đã thấy đủ các mô hình rug pull để biết: khi một dự án huy động vốn lớn và code có dấu hiệu “tạm thời”, đó là lúc bạn nên rút lui. Hãy kiểm tra, hoặc mất tất cả.
