Không, đây không phải là một lỗi hợp đồng thông minh. Đây là một hành vi gian lận có chủ đích, nhắm vào điểm yếu chí mạng nhất của DeFi: Oracle tập trung.
Ngày 15 tháng 7, Ostium – một sàn giao dịch phái sinh phi tập trung được xây dựng trên Arbitrum – đã bị tấn công, dẫn đến thiệt hại 23,75 triệu USDC từ quỹ thanh khoản dành cho người cung cấp (LP). Kẻ tấn công đã khai thác cơ sở hạ tầng off-chain của giao thức, giả mạo báo cáo giá và thực hiện các giao dịch mua bán chớp nhoáng để rút tiền.
Bối cảnh không mới: trong một chu kỳ thị trường tăng giá, sự phấn khích thường che giấu những lỗ hổng kỹ thuật. Ostium, giống như nhiều dự án non trẻ khác, đã chọn một giải pháp oracle tập trung để tiết kiệm chi phí và tăng tốc độ giao dịch. Nhưng sự đánh đổi này đã trở thành tử huyệt.
Vậy điều gì đã thực sự xảy ra? Hãy mổ xẻ từng lớp. Kẻ tấn công đã phá vỡ cơ sở hạ tầng off-chain cung cấp dữ liệu giá cho Ostium. Chúng gửi các báo cáo giá giả mạo – không phải là một cuộc tấn công toán học phức tạp, mà là một sự thao túng dữ liệu có hệ thống. Với giá giả, chúng mở các vị thế long với đòn bẩy cao, sau đó ngay lập tức đóng chúng, rút tiền từ quỹ LP. Toàn bộ quá trình chỉ diễn ra trong 60 phút trước khi nhóm phát triển kịp tạm dừng giao dịch. Kết quả: quỹ LP mất 23,75 triệu USDC, trong khi tiền của các nhà giao dịch vẫn an toàn. Nhóm đã hợp tác với Mandiant và ZeroShadow để điều tra.
Điểm mù nằm ở giả định về sự an toàn. Phe bò sẽ lập luận rằng việc tiền của nhà giao dịch được bảo vệ là một tín hiệu tích cực, cho thấy giao thức vẫn giữ được niềm tin cốt lõi. Đúng vậy, nhưng đó là một sự thật nửa vời. Hãy nhìn vào bức tranh toàn cảnh: 23,75 triệu USD của các nhà cung cấp thanh khoản đã biến mất. Những người này là xương sống của bất kỳ sàn phái sinh nào. Khi họ mất niềm tin, tổng giá trị bị khóa (TVL) sẽ bốc hơi. Các vị thế hiện tại vẫn mở, nhưng khi giao dịch được khôi phục, chúng sẽ được định giá lại, có thể gây ra một loạt thanh lý hàng loạt – một quả bom hẹn giờ.
Bài học không phải là về việc tránh các giao thức nhỏ. Đó là về sự minh bạch và trách nhiệm. Một oracle tập trung là một điểm hỏng duy nhất. Ostium đã học được bài học đó một cách đau đớn. Câu hỏi còn lại: liệu một giao thức từng mất 23 triệu USD có thể xây dựng lại niềm tin? Hay đây chỉ là một cái chết được báo trước?
