Cầu nối XRP-Coreum bị 'giả nạp': 200.000 XRP bốc hơi chỉ vì một dòng memo

Một giao dịch chuyển token nội bộ giữa hai ví của cùng một kẻ tấn công – và chỉ vì trong memo có dòng chữ 'bridge deposit' – đã khiến 21 relayer của cầu nối XRP-Coreum đồng loạt ký vào một lệnh đúc tiền ảo. Kết quả: 198.715,88 XRP (khoảng 200.000 USD) bị rút sạch khỏi quỹ dự trữ. Không lỗi consensus, không lỗi hợp đồng thông minh phức tạp. Chỉ là một lỗi logic cấp ứng dụng mà bất kỳ ai từng audit smart contract đều có thể phát hiện – nếu họ đọc kỹ mã nguồn. Cầu nối XRP-Coreum (nay là tx) là cây cầu duy nhất kết nối XRP Ledger với hệ sinh thái Coreum, một sidechain tập trung vào tài sản token hóa và DeFi. Cơ chế hoạt động của nó thuộc dạng 'observer + relayer': một phần mềm phía Coreum đọc lịch sử giao dịch XRPL, tìm kiếm các giao dịch gửi XRP vào địa chỉ do cầu nối kiểm soát, sau đó 21 relayer độc lập xác nhận và cho phép đúc tài sản bọc (wrapped token) bên Coreum. Tưởng chừng an toàn với 21 chữ ký, nhưng thực tế tất cả đều dựa trên cùng một nguồn dữ liệu đầu vào – lịch sử giao dịch XRPL – và cùng một bộ luật phân tích. Khi bộ luật đó có lỗi, 21 chữ ký chỉ là 21 bản sao của cùng một quyết định sai lầm. Kẻ tấn công đã làm gì? Họ tạo ra một token bọc do chính cầu nối phát hành (wrapper token), sau đó thực hiện một giao dịch chuyển token này giữa hai ví do họ kiểm soát. Trong memo của giao dịch, họ gắn thêm dữ liệu giả dạng 'bridge deposit'. Phần mềm Coreum, thay vì kiểm tra xem tài sản thực sự đến từ đâu – có phải là XRP thật đến từ ví người dùng không – lại chỉ nhìn vào memo và loại token. Nó thấy: 'memo có deposit, token do cầu phát hành' – thế là kết luận đây là một khoản nạp XRP hợp lệ. 21 relayer không hề có cơ chế kiểm tra độc lập nào khác ngoài việc xác nhận lại dữ liệu từ cùng phần mềm đó. Họ phê duyệt. Bên Coreum đúc ra wrapped token không có tài sản thế chấp. Kẻ tấn công dùng số token đó để rút XRP thật từ quỹ dự trữ. 97 phút, nhiều lần lặp lại với số tiền tăng dần, không có một cảnh báo nào. Cầu nối không có giới hạn số tiền mỗi giao dịch, không có cơ chế phát hiện bất thường. Đây là một lỗi kinh điển trong thiết kế cross-chain bridge: tin tưởng tuyệt đối vào dữ liệu đầu vào mà không có lớp xác thực độc lập. Trong quá trình audit của tôi, tôi thường thấy các nhà phát triển quá tập trung vào việc chống reentrancy, overflow, mà quên mất rằng kẻ tấn công có thể lừa cả hệ thống bằng cách đưa vào dữ liệu hợp lệ về mặt cú pháp nhưng sai về mặt ngữ nghĩa. Ở đây, giao dịch nội bộ với token bọc hoàn toàn hợp lệ trên XRPL – không có lỗi ở đây. Nhưng ý nghĩa của nó đối với cầu nối thì hoàn toàn sai. Thiếu một bước kiểm tra: 'Tài sản này có thực sự là XRP được gửi từ người dùng bên ngoài không?' Chỉ cần một filter đơn giản: 'chỉ chấp nhận giao dịch gửi XRP trực tiếp đến địa chỉ bridge, không phải token bọc' – đã có thể chặn toàn bộ vụ tấn công. Nhưng điều đáng nói hơn là 21 relayer. Mọi người thường nghĩ multi-sig là an toàn. Nhưng nếu tất cả relayer cùng chạy một phần mềm giống hệt nhau, cùng một logic xác thực, thì multi-sig chỉ là ảo tưởng. 21 relayer, cùng một lỗi logic – đó không phải đa chữ ký, mà là đa lỗi. Điểm mù bảo mật ở đây là sự đồng nhất. Nếu chỉ có một relayer sử dụng một bộ luật khác – ví dụ kiểm tra thủ công hoặc chạy một client code khác – thì vụ tấn công đã bị phát hiện từ giao dịch đầu tiên. Nhưng không. Thiết kế hiện tại biến 21 relayer thành 21 cái bóng của cùng một thực thể. Đây là lý do tại sao tôi luôn nói: 'Đừng nhân bản lỗi, hãy đa dạng hóa logic xác thực.' Còn về mặt thị trường? 200.000 USD là một con số nhỏ so với Ronin (600 triệu) hay Wormhole (320 triệu). Nhưng điều này không làm giảm mức độ nghiêm trọng của lỗ hổng. Vấn đề không phải là số tiền mất, mà là cấu trúc an ninh của cầu nối đã bị phá sản hoàn toàn. Một lỗi logic đơn giản có thể lặp lại với số tiền lớn hơn nếu cầu nối hoạt động trở lại mà không sửa tận gốc. Và đây không phải lỗi của XRP Ledger – XRPL vẫn hoạt động bình thường, consensus không bị ảnh hưởng. Nhưng về mặt truyền thông, một cầu nối XRP bị hack luôn gây FUD cho toàn bộ hệ sinh thái. Kẻ tấn công đã nhanh chóng chuyển XRP thành ETH qua THORChain, rồi đưa vào Tornado Cash – một đường đi quen thuộc. Điều này một lần nữa cho thấy THORChain và các giao thức tương tự đang trở thành công cụ rửa tiền mặc định cho hacker. Đội ngũ tx đã báo cáo FBI, nhưng với Tornado Cash bị OFAC trừng phạt, việc dòng tiền chạy qua đó có thể khiến vụ việc bị đưa vào hồ sơ điều tra rửa tiền xuyên biên giới, gây áp lực lên toàn bộ ngành. Bài học rõ ràng: cầu nối dạng 'observer + relayer' với logic xác thực tập trung đã chết. Tương lai thuộc về các cơ chế không cần tin tưởng: light client, SPV, hoặc zero-knowledge proof. Nếu bạn có thể chứng minh bằng mật mã rằng một giao dịch XRP thực sự đã xảy ra mà không cần tin tưởng bên thứ ba, thì bạn không thể bị lừa bởi một memo giả. Và nếu bạn có relayer, hãy để họ chạy các client code khác nhau, kiểm tra chéo dữ liệu từ nhiều nguồn. Đừng tạo ra 21 bản sao của cùng một sai lầm. Một dòng memo trong giao dịch nội bộ đã làm sập cả một cây cầu. Lần tới, có thể là một dòng chữ khác, và số tiền có thể lớn hơn gấp trăm lần. Bạn có tin tưởng vào một cầu nối mà 21 người xác thực đều có thể bị lừa bởi một dòng memo không?