Việc chuyển các hợp đồng ra khỏi hệ thống trực tuyến không chỉ đơn thuần là vấn đề lưu trữ tài liệu; đó là một phần thiết yếu của việc kiểm soát an ninh.
Tác giả: Gino Matos
Biên soạn bởi: Luffy, Foresight News
Tóm lại:
- Hacker đã đánh cắp khoảng 1,34 triệu tài sản bằng cách khai thác lỗ hổng trong hệ thống nhà tạo lập thị trường tự động V3 đã ngừng hoạt động Raydium .
- Sự cố này phơi bày một vấn đề phổ biến: các hợp đồng cũ của các dự án DeFi đã bị ngừng hoạt động vẫn đang vận hành bình thường trên Chuỗi. Những cơ sở hạ tầng bị lãng quên này đã trở thành mục tiêu dễ dàng cho các cuộc tấn công.
- Báo cáo công khai cho thấy kể từ tháng 3 năm 2025, đã có ít nhất tám trường hợp tương tự về việc các hợp đồng cũ bị đánh cắp trong ngành, có nghĩa là một lượng lớn mã nguồn cũ vẫn chưa được quản lý và vẫn có thể bị truy cập từ bên ngoài.
Gần đây, một lỗ hổng trong Raydium AMM V3 đã gây thiệt hại 1,34 triệu đô la. Dự án này liên quan đến năm pool nằm ngoài hệ thống sản phẩm hiện tại. Các pool này không được hỗ trợ bởi giao diện người dùng hoặc SDK của Raydium và không thể truy cập được đối với người dùng thông thường, nhưng cuối cùng đã bị hacker khai thác.
Cuộc tấn công lần nhắm vào các hợp đồng lỗi thời và cơ sở hạ tầng cơ bản bị bỏ quên trong ngành, làm lộ ra một lỗ hổng lớn trong quản lý vòng đời đầy đủ của hợp đồng thông minh. Và loại vấn đề này không chỉ giới hạn ở một sàn giao dịch phi tập trung duy nhất trong hệ sinh thái Solana .
Các loại rủi ro bị bỏ qua
Theo báo cáo sự cố an ninh được công khai, kể từ tháng 3 năm 2025, đã có ít nhất tám trường hợp tấn công do các hợp đồng lỗi thời, lạc hậu hoặc không còn hiệu lực gây ra, với tổng thiệt hại ước tính khoảng 10,8 triệu đô la Mỹ.
Nếu tính cả các sự cố bảo mật do các quỹ đầu tư lỗi thời và các sản phẩm hỗ trợ phiên bản cũ gây ra, số lượng sự cố liên quan lên tới 10 (bao gồm cả vụ trộm Raydium lần này), với tổng thiệt hại ước tính khoảng 22,5 triệu đô la Mỹ.
Hiện nay, hầu hết các nền tảng theo dõi sự cố bảo mật trong ngành đều phân loại các loại tấn công theo nguyên nhân kỹ thuật của chúng. Các phân loại phổ biến bao gồm: lỗ hổng mã hợp đồng thông minh, lỗi kiểm soát truy cập, giả mạo oracle, rò rỉ private key và lỗi cầu nối xuyên chuỗi.
Các hợp đồng "zombie" (tức là các hợp đồng cũ mà dự án đã thông báo là không còn được sử dụng nữa, nhưng vẫn có thể được gọi bình thường trên Chuỗi) thuộc về một phạm vi rủi ro hoàn toàn khác. Chúng là các sự cố bảo mật do vấn đề trong quản lý vòng đời hợp đồng gây ra, nhưng chúng luôn bị chôn vùi trong thống kê về các lỗ hổng thông thường khác nhau và không được phân loại riêng biệt.
Lý do khiến nhóm thanh khoản V3 Automated Nhà Tạo Lập Thị Trường của Raydium bị bỏ rơi là do dự án Serum mà nó dựa vào đã chính thức bị đóng cửa, khiến hợp đồng cũ này hoàn toàn mất đi chức năng ban đầu và tài sản thanh khoản tương ứng đã bị bỏ không trên Chuỗi.
Hợp đồng mới hiện tại Raydium sử dụng cơ chế xác minh kép cho hai thông tin quan trọng: thứ nhất, nó xác minh chiếm tỷ lệ tài sản thông qua cơ chế xác minh tổng nguồn cung; thứ hai, nó xác minh địa chỉ đúc token thanh khoản và các thông tin tài khoản liên quan khác.
Tuy nhiên, hợp đồng V3 lỗi thời này hoàn toàn bỏ qua hai quy trình xác minh đó. Hacker đã khai thác lỗ hổng này ngụy tạo token thanh khoản mới và mạo danh các thông tin xác thực hợp lệ, trực tiếp vượt qua tất cả các quy tắc kiểm soát rủi ro.
Trong sự cố lần, tổng cộng khoảng 150.177 RAY, 5.603 SOL và 893.700 USDC đã bị đánh cắp. Tài sản này đã được lưu trữ trong nhóm thanh khoản cũ của nền tảng trong một thời gian dài. Mặc dù chúng không còn là một phần của việc kinh doanh chính, nhưng quyền truy cập Chuỗi chưa bao giờ bị đóng.
Tám trường hợp cho thấy những vấn đề chung.
Kể từ năm 2025, một số dự án DeFi có tiếng đã gặp phải sự cố với các hợp đồng cũ. Tất cả các sự cố này đều có chung đặc điểm: nhóm dự án khẳng định rằng phiên bản hiện tại của sản phẩm và người dùng hiện tại không bị ảnh hưởng, nhưng vì các hợp đồng cũ không được đóng hoàn toàn, nên quỹ của dự án cuối cùng phải gánh chịu tất cả các khoản lỗ.
Tại sao rủi ro các hợp đồng cũ lại bị bỏ qua?
Hiện nay, hầu hết các hệ thống phân loại sự cố bảo mật trong ngành đều tập trung vào phương pháp tấn công, mục tiêu bị can thiệp và lỗi mã, đây là một góc nhìn phân tích "bắt đầu từ các lỗ hổng kỹ thuật". Điều này đã dẫn đến việc che giấu các sự cố hợp đồng "ma". Cốt lõi của những vấn đề này không bao giờ là lỗi lập trình, mà là dự án đáng lẽ phải hoàn toàn ngừng hoạt động các hợp đồng cũ, nhưng đã không làm được điều đó.
Một báo cáo nghiên cứu ngành năm 2025 đã phân tích 50 sự cố an ninh crypto lớn trên toàn cầu từ năm 2022 đến năm 2025, với tổng thiệt hại vượt quá 1 tỷ đô la. Nghiên cứu chỉ ra rằng các cuộc tấn công trên Chuỗi có rủi ro cao thường là kết quả của Chuỗi rủi ro, liên quan đến nhiều cấp độ bao gồm hoạt động của con người, bảo trì hàng ngày, mô hình kinh tế, vòng đời hợp đồng và quản trị cộng đồng.
Bài báo đề xuất một khung phân tích nguyên nhân gốc rễ bốn lớp, phân loại rõ ràng các lỗ hổng quản lý vòng đời hợp đồng, lỗ hổng quản trị cộng đồng và lỗ hổng viết mã thành các loại rủi ro độc lập. Vấn đề hợp đồng ma là một lỗ hổng quản lý vòng đời điển hình. Tuy nhiên, trong hệ thống thống kê bảo mật hiện có, các sự cố như vậy đều được phân loại là "lỗ hổng mã nguồn", và dữ liệu tổn thất tương ứng bị che khuất bởi các phân loại khác, không thu hút được sự chú ý đầy đủ từ ngành.
Hãy cảnh giác với "các bãi phế liệu hợp đồng": Các cơ sở lỗi thời đã trở thành điểm nóng.
Nếu các dự án DeFi liên tục coi việc "vô hiệu hóa hợp đồng" là một vấn đề nhỏ nhặt, chỉ đơn thuần ghi chú "hợp đồng này đã bị vô hiệu hóa" trong tài liệu sản phẩm mà không chuyển giao tài sản nhàn rỗi, vô hiệu hóa các hàm gọi hoặc liên tục giám sát trạng thái, thì hacker sẽ tiếp tục nhắm mục tiêu vào "nghĩa địa hợp đồng" này.
Lịch lịch sử triển khai của mọi dự án DeFi lớn hiện đã trở thành mục tiêu có thể tìm kiếm và khai thác hacker. Con số thiệt hại ước tính hiện tại là 22,5 triệu đô la chỉ đại diện cho các trường hợp được công khai; rủi ro thực sự cao hơn nhiều.
Những quỹ đầu tư lỗi thời, các giao diện được ủy quyền lịch sử và mô-đun hợp tác ban đầu chứa tài sản nhưng tách rời khỏi quy trình người dùng chính thường ít được chú trọng vận hành và giám sát hơn so với các hệ thống việc kinh doanh hiện tại, khiến chúng trở thành mục tiêu hàng đầu của hacker.
Để thay đổi tình hình hiện tại, trước hết, "các hợp đồng ma" cần được phân loại là một loại rủi ro độc lập và các sự cố liên quan cần được phân tích thống kê riêng biệt; thứ hai, quy trình hủy bỏ hợp đồng cần được tích hợp vào các quy trình bảo mật tiêu chuẩn và được coi trọng ngang bằng với kiểm toán mã nguồn. Chỉ bằng cách thực hiện bảo trì vòng đời toàn diện, phạm vi tấn công mới có thể được giảm thiểu hiệu quả.
Các phương pháp xử lý hiện tại trong ngành nhìn chung khá giống nhau. Raydium đã sử dụng quỹ dự án của mình để chi trả 1,34 triệu đô la tiền lỗ, trong khi Transit Finance và Huma Finance cũng để các nhóm dự án của họ gánh chịu các khoản lỗ của người dùng.
Điều này cũng có nghĩa là việc đưa hợp đồng ra khỏi mạng không còn chỉ là một công việc ghi chép tài liệu mà còn là một bước kiểm soát an ninh thiết yếu.
Bảy tiêu chuẩn kiểm soát an ninh cho việc ngừng hoạt động theo hợp đồng
Để thanh lý các hợp đồng cũ, ngành có thể thiết lập các quy trình quản lý và kiểm soát tiêu chuẩn hóa, với các yêu cầu và chức năng cụ thể như sau:
Việc chỉ đánh dấu hợp đồng là "đã ngừng hoạt động" trong tài liệu chỉ chuyển rủi ro bảo mật sang kho lưu trữ của dự án; lỗ hổng bảo mật vẫn còn đó. Chỉ thông báo việc ngừng hoạt động ở cấp độ sản phẩm, mà không hoàn toàn tắt hệ thống về mặt kỹ thuật, cho phép các hợp đồng cũ vẫn có thể truy cập được: đội ngũ dự án đã thiếu trách nhiệm trong việc giám sát, trong khi hacker luôn rình rập.
Giá trị của các dự án DeFi không chỉ nằm ở quy mô tài sản khóa vị thế hiện tại mà lắng đọng ở lịch sử mã nguồn và kiến trúc nền tảng của chúng. Lịch sử bị lãng quên này giờ đây đã trở thành một lỗ hổng bảo mật mới.
