Toàn bộ sự kiện: Vụ án máu do lỗ hổng chuyển quyền

Khôi phục dòng thời gian:

Ngày 24 tháng 2 năm 2024, nền tảng Infini đối mặt với một cuộc khủng hoảng an ninh nghiêm trọng. Hacker đã thu được quyền quản trị ví đa chữ ký của nền tảng Infini và lợi dụng lỗ hổng này để chuyển đi 50 triệu USDC trong vòng 40 phút. Dữ liệu trên chuỗi cho thấy, hacker đã chuyển số tiền đánh cắp thông qua trộn tiền để rút tiền mặt tại các sàn giao dịch, thể hiện rõ nét kỹ năng chuyên nghiệp của một hacker. Sự kiện này đã phơi bày những thiếu sót nghiêm trọng trong quá trình chuyển quyền của nền tảng Infini, trong khi hành động của hacker lại thể hiện sự nắm bắt chính xác lỗ hổng của nền tảng.

Ứng phó với khủng hoảng:

Sau khi sự kiện xảy ra, nhà sáng lập Infini, Christian, đã nhanh chóng phát đi tuyên bố nhằm an ủi thị trường và người dùng. Tuyên bố chỉ ra rằng, vấn đề cốt lõi là do quy trình chuyển quyền trước đó có sơ hở, khiến khả năng kiểm soát của nút quyền cũ chưa được loại bỏ hoàn toàn, tạo cơ hội cho hacker. Để bù đắp thiệt hại, Christian cam kết sẽ tự chịu trách nhiệm cho 70% số dư của những khách hàng lớn bị ảnh hưởng, phần còn lại sẽ được bổ sung trước thứ Hai tuần tới. Đồng thời, để ngăn chặn các cuộc tấn công tiếp theo, Infini quyết định tạm dừng các hợp đồng tài chính, nhưng vẫn duy trì kênh rút tiền mặt để đảm bảo an toàn tài sản của người dùng.

Dư luận lan rộng:

Tuy nhiên, khi sự kiện tiếp tục phát triển, nhà điều tra chuỗi ZachXBT đã đưa ra những nghi vấn về cơ chế ứng phó khẩn cấp của Circle. ZachXBT chỉ ra rằng, hệ thống kiểm soát rủi ro 24/7 mà nhà phát hành USDC là Circle cam kết, thực chất chỉ là lời hứa suông. Trong quá trình hacker rửa tiền nhanh chóng thông qua các sàn giao dịch tập trung, các lỗ hổng trong giám sát đã lộ rõ, càng làm gia tăng lo ngại của thị trường về tính hiệu quả của việc quản lý stablecoin. Trong quá trình xử lý sự kiện này, cơ chế ứng phó khẩn cấp của nền tảng, phương án bồi thường và các biện pháp nâng cấp kiểm soát rủi ro sau đó đều trở thành tâm điểm của cuộc thảo luận công khai.

Sự thật về "thờ ơ" của Circle: Kép đôi tiêu chuẩn trong việc đóng băng

Mâu thuẫn cốt lõi của cơ chế hậu trường

Mặc dù nhà phát hành USDC là Circle đã dự phòng quyền đóng băng trong mã hợp đồng, nhưng cơ chế ứng phó thực tế lại phơi bày một logic vận hành đáng lo ngại - "ưu tiên quản lý, sau đó mới đến người dùng". Ví dụ, vào năm 2023, Circle đã phối hợp với Bộ Tư pháp Mỹ để thành công đóng băng 65 triệu USD, cho thấy họ có thể nhanh chóng phản ứng và hành động. Tuy nhiên, khi sự kiện Infini xảy ra, mặc dù số tiền bị đánh cắp là rất lớn và ảnh hưởng sâu rộng, Circle vẫn không khởi động ứng phó khẩn cấp, chỉ chọn lọc thực hiện biện pháp đóng băng, lộ rõ sự chậm trễ khi đối mặt với tài sản của người dùng.

Khi liên quan đến việc tài sản bị đánh cắp, đặc biệt là khi những tài sản này liên quan đến các sàn giao dịch lớn hoặc khách hàng lớn, quyết định đóng băng của Circle thường ẩn chứa những phức tạp về lợi ích kinh doanh. Điều này khiến họ trong một số trường hợp ưu tiên lợi ích của mình với các cơ quan quản lý và đối tác hợp tác, thay vì toàn lực bảo vệ an toàn tài sản của người dùng thông thường.

Hơn nữa, trong sự kiện này, hacker đã nhanh chóng chuyển tài sản đánh cấp thông qua công nghệ liên chuỗi và trộn tiền, buộc Circle phải phối hợp các thủ tục tư pháp của nhiều quốc gia để đóng băng những khoản tiền này, làm tăng thêm độ phức tạp trong việc ứng phó khẩn cấp.

Sự sụp đổ của lời hứa phi tập trung

Khi ZachXBT công khai đặt câu hỏi về cơ chế ứng phó khẩn cấp của Circle, ông đã chạm đúng vào nỗi đau của ngành công nghiệp - lời hứa "giám sát 24/7" trong Sách trắng của USDC chỉ là lời nói suông. Sự kiện này đã phơi bày một thực tế tàn khốc: mặc dù Circle và các nhà phát hành stablecoin khác liên tục tuyên bố rằng họ cung cấp stablecoin phi tập trung, miễn kiểm duyệt, nhưng trong thực tế, những stablecoin này vẫn bị kiểm soát bởi các cơ chế tập trung.

Khi sự kiện xảy ra, quyền đóng băng không phải là lá chắn bảo vệ tài sản của người dùng, mà là vũ khí phục vụ nhu cầu quản lý, ẩn sau đó là sự lựa chọn có chọn lọc và妥协với cuộc tranh giành quyền lực.

Đối với người dùng, khi hacker có thể tránh được các ranh giới quản lý (ví dụ: không liên quan đến tài trợ khủng bố), các nhà phát hành như Circle thường thiếu động lực đủ mạnh để khởi động các biện pháp cứu trợ. Trong bối cảnh này, người dùng trở thành nạn nhân của cuộc tranh giành quyền lực này, không thể nhận được sự bảo vệ và hỗ trợ kịp thời.

Liên minh tự cứu trong tình trạng thiếu quyền lực: Sự trỗi dậy của cơ sở hạ tầng an ninh cộng đồng

Mạng lưới ứng phó khẩn cấp phi tập trung

Khi các tổ chức tập trung phản ứng chậm chạp, cơ sở hạ tầng an ninh của cộng đồng phi tập trung đang dần trỗi dậy, lấp đầy khoảng trống này. Các giao thức bảo hiểm phi tập trung như Nexus Mutual đã sử dụng hợp đồng thông minh để thực hiện bồi thường tự động, mang lại một con đường an toàn khác cho người dùng bị tấn công. Ngoài ra, nền tảng Immunefi đã xây dựng cơ chế sửa lỗi thông qua đấu thầu, cung cấp phần thưởng hậu hĩnh lên đến 10 triệu USD cho các hacker mũ trắng. Cơ chế thưởng này không chỉ khuyến khích thành viên cộng đồng tích cực phát hiện và báo cáo lỗ hổng, mà còn thúc đẩy toàn ngành công nghiệp crypto nâng cao an ninh.

Ma trận tài sản kháng đóng băng

Trong bối cảnh an ninh ngày càng bị đe dọa, khả năng kháng kiểm duyệt của tài sản đã trở thành tâm điểm quan tâm của nhà đầu tư. Stablecoin phi tập trung trở thành công cụ quan trọng để ngăn chặn tài sản bị đóng băng. Stablecoin thuật toán như DAI và FRAX, mặc dù cung cấp một số khả năng kháng kiểm duyệt, nhưng vẫn ở mức độ rủi ro trung bình. Trong khi đó, stablecoin thừa tài sản như LUSD và MIM, có mức độ kiểm soát rủi ro tương đối thấp, phù hợp với nhà đầu tư bảo thủ. Tuy nhiên, stablecoin bảo mật như XUSD và Zcash cung cấp mức độ bảo vệ quyền riêng tư mạnh nhất, nhưng cũng có mức độ rủi ro cao hơn, do đó cần có sự phân bổ cẩn thận.

Dân chủ hóa công cụ an ninh

Cùng với sự nổi lên của cuộc cách mạng kiểm toán mã nguồn mở, các nền tảng và cộng đồng cũng bắt đầu chú trọng hơn đến việc dân chủ hóa các công cụ an ninh. CertiK đã ra mắt nền tảng kiểm tra cộng đồng, cho phép bất kỳ nhà phát triển nào cũng có thể tham gia vào việc kiểm tra lỗ hổng hợp đồng, nâng cao tính minh bạch và độ tin cậy của mã hợp đồng. Đồng thời, các trợ lý phòng thủ AI như Forta Network thông qua việc giám sát thời gian thực các giao dịch bất thường trên chuỗi, đã đạt được độ chính xác cảnh báo lên đến 92%. Những công cụ kỹ thuật này cung cấp cho thành viên cộng đồng sự bảo vệ mạnh mẽ, giúp họ có thể áp dụng các biện pháp phòng thủ trước khi các cuộc tấn công xảy ra, từ đó tránh được thiệt hại.

Kết luận: Từ "phi tập trung" đến "tự cứu an ninh"

Sự kiện Infini đã phơi bày những vấn đề sâu xa ẩn chứa trong thị trường crypto: sự bảo đảm an ninh phi tập trung mà chúng ta mong đợi không phải là toàn năng. Các cơ chế tập trung, lỗ hổng trong quyền quản trị và sự thất bại của hệ thống đa chữ ký đều phơi bày tính dễ bị tổn thương của tài sản crypto.

Phương thức tấn công chuyên nghiệp của hacker, sự chậm trễ trong ứng phó khẩn cấp của nền tảng và sự thiếu vắng của hệ thống quản lý đã khiến tình hình an ninh của thị trường crypto trở nên vô cùng phức tạp.

Cuộc khủng hoảng này đã gióng lên hồi chuông cảnh báo cho tất cả nhà đầu tư: trong bối cảnh "phi tập trung" không phải là toàn năng, tự cứu an ninh mới là chìa khóa để đ