Allbridge Lại Bị Tấn Công Flash Loan: Vết Thương Thứ Hai Của Cây Cầu Chết

Vào đầu tháng 7 năm 2023, Allbridge – một giao thức cross-chain cho phép chuyển tài sản giữa Solana, Ethereum và BNB Chain – một lần nữa bị khai thác bởi một cuộc tấn công flash loan. Đây không phải lần đầu tiên. Vào tháng 4 cùng năm, một vụ tấn công tương tự đã xảy ra trên pool thanh khoản BNB Chain, gây thiệt hại 57.3 triệu USD. Lần này, thiệt hại khoảng 1.65 triệu USD, nhưng hậu quả còn nặng nề hơn: uy tín của Allbridge đã bị phá hủy hoàn toàn. Sự cố được phát hiện khi nhóm phát triển buộc phải tạm dừng Core Protocol. Kẻ tấn công đã vay flash loan từ giao thức cho vay trên Solana (Kamino), sau đó thao túng cơ chế định giá trong pool thanh khoản của Allbridge bằng nhiều giao dịch nhỏ. Bằng cách này, hắn có thể mua token với giá rẻ và bán lại với giá cao, thu lợi nhuận chênh lệch. Toàn bộ quá trình diễn ra trong một giao dịch duy nhất, không để lại dấu vết nào trước khi kết thúc. Bản chất kỹ thuật của vấn đề nằm ở mô hình định giá của Allbridge. Khác với các cầu nối tập trung vào oracle như Chainlink, Allbridge dựa vào độ sâu thanh khoản tức thời của pool để xác định tỷ giá. Khi một lượng lớn tiền được bơm vào thông qua flash loan, tỷ giá bị bóp méo, tạo ra cơ hội arbitrage. Điều này cho thấy thiết kế cốt lõi có lỗ hổng cấu trúc, không phải là lỗi code đơn thuần. Lần đầu tiên bị tấn công, nhóm đã tuyên bố "điều chỉnh cơ chế tính thanh khoản". Nhưng lần thứ hai chứng minh rằng bản vá đó không giải quyết được gốc rễ. Hậu quả thị trường rất nghiêm trọng. Ngay sau khi tin tức lan ra, các nhà cung cấp thanh khoản (LP) đổ xô rút vốn. Total Value Locked (TVL) của Allbridge giảm gần như về 0. Đối với một cầu nối cross-chain, tài sản thế chấp duy nhất là lòng tin của người dùng. Khi lòng tin bị phá vỡ hai lần, không có lý do gì để quay lại. Các đối thủ cạnh tranh như Stargate (dựa trên LayerZero) hay Across Protocol (dựa trên oracle lạc quan) có thể hưởng lợi từ làn sóng di cư của vốn. Phản ứng của nhóm phát triển Allbridge khá nhanh: họ tạm dừng giao thức, thông báo sẽ công bố báo cáo chi tiết sau khi hoàn tất điều tra, và lên kế hoạch loại bỏ các pool thanh khoản hiện tại trước khi khởi động lại. Nhưng động thái này càng làm lộ rõ sự yếu kém trong năng lực kỹ thuật. Một đội ngũ bảo mật giỏi sẽ không để cùng một lỗ hổng xuất hiện hai lần. Việc tái khởi động với kiến trúc cũ gần như chắc chắn sẽ thất bại. Solana – blockchain nơi vụ tấn công bắt nguồn – cũng chịu ảnh hưởng tiêu cực. Sự kiện này một lần nữa làm dấy lên nghi ngờ về tính bảo mật của các DeFi trên Solana, đặc biệt là giao thức cho vay Kamino bị lợi dụng để cung cấp flash loan. Các nhà đầu tư sẽ ngần ngại hơn khi đưa tiền vào hệ sinh thái này. Về mặt dài hạn, Allbridge đã chết. Một giao thức cross-chain không thể bảo vệ tài sản của người dùng là vô dụng. Ngay cả khi họ tung ra bản nâng cấp hoàn toàn mới, cộng đồng sẽ nhớ đến hai vụ hack liên tiếp. Cơ hội duy nhất là bán tháo token (nếu có) hoặc rút toàn bộ vốn. Không nên tham gia bất kỳ đợt ra mắt nào trong tương lai. Bài học cho toàn bộ ngành: cầu nối cross-chain là điểm yếu chết người của hệ sinh thái. Các nhà phát triển cần ưu tiên bảo mật hơn tốc độ, sử dụng kiến trúc không cần tin cậy như layer zero hay oracle phi tập trung. Còn Allbridge, cây cầu này đã sập vĩnh viễn.