Quản trị trong tầm ngắm: Giao thức X100 hứng chịu đợt khai thác có tổ chức
TREE NEWS đưa tin: Dự án X100 trên Ethereum hiện đang bị tấn công liên tục và có tổ chức, với việc công ty bảo mật Blockaid báo cáo rằng ba nhóm tấn công riêng biệt đã lợi dụng cơ chế quản trị và quản lý thanh khoản của giao thức để rút ra số tiền đáng kể. Đợt khai thác đang diễn ra đã dẫn đến việc đánh cắp khoảng 4,85 triệu USDT và 550.000 token X, và các kẻ tấn công vẫn đang hoạt động.
Giải phẫu cuộc tấn công
Vectơ tấn công tập trung vào cơ chế quản trị Senate của X100, một thành phần quan trọng được thiết kế để quản lý kho bạc và thanh khoản của dự án. Theo phân tích của Blockaid, kẻ tấn công đầu tiên đã chiếm được quyền kiểm soát hai trong ba ghế Senate, qua đó nắm quyền kiểm soát đa số. Quyền kiểm soát này sau đó được dùng để bán 400.000 token X từ kho bạc dự án vào một bể thanh khoản tự tạo có thanh khoản bằng không, qua đó thực chất rút giá trị khỏi giao thức.
Kẻ tấn công thứ hai đi theo một con đường khác, phá hủy một vị thế thanh khoản Uniswap V3 do hợp đồng Freezer của giao thức nắm giữ. Đây là một đòn giáng trực tiếp vào độ sâu thanh khoản của giao thức. Kẻ tấn công thứ ba sau đó lặp lại việc chiếm quyền quản trị của kẻ thứ nhất, sử dụng cùng thao tác Senate để rút vị thế thanh khoản Uniswap V3 còn lại tương ứng với khoảng 550.000 token X.
Hàm ý đối với an ninh quản trị DeFi
Sự cố này là lời nhắc nhở rõ rệt về những lỗ hổng vốn có trong các hệ thống quản trị on-chain, đặc biệt là những hệ thống có cấu trúc quyền lực tập trung. Cơ chế Senate, được thiết kế để ra quyết định hiệu quả, đã trở thành điểm lỗi đơn lẻ. Khả năng của kẻ tấn công trong việc nhanh chóng chiếm quyền kiểm soát các ghế quản trị và thực thi các đề xuất độc hại làm nổi bật nhu cầu về các khung quản trị vững chắc hơn, phi tập trung hơn và có khóa thời gian.
Hơn nữa, cuộc tấn công nhấn mạnh tầm quan trọng của việc quản lý thanh khoản an toàn. Việc phá hủy vị thế Uniswap V3 của Freezer cho thấy thanh khoản có thể bị vũ khí hóa như thế nào, dù bằng cách rút nó đi để gây trượt giá hay bằng cách lợi dụng chính các cơ chế quản lý nó. Việc kẻ tấn công dùng một bể tự tạo có thanh khoản bằng không để xả token kho bạc là chiêu ‘liquidity rug pull’ kinh điển, nhưng được thực thi thông qua quản trị.
Góc nhìn hướng tới tương lai
Khi cuộc tấn công vẫn tiếp diễn, với 12,2 triệu token X vẫn còn nằm trong hợp đồng Freezer, đội ngũ X100 và các đối tác bảo mật của họ đang phải chạy đua với thời gian. Ưu tiên trước mắt phải là ngăn chặn cuộc tấn công, có thể bằng cách tạm dừng giao thức hoặc nâng cấp các hợp đồng dễ bị tổn thương. Tuy nhiên, thiệt hại đối với niềm tin của người dùng đã là đáng kể.
Đối với hệ sinh thái DeFi rộng lớn hơn, sự kiện này nên trở thành chất xúc tác để đánh giá lại an ninh quản trị. Các giao thức phải cân nhắc triển khai kiểm soát đa chữ ký, khóa thời gian đối với các hành động quản trị và các cơ chế bỏ phiếu phi tập trung hơn. Sự cố cũng đặt ra câu hỏi về vai trò của các công ty bảo mật như Blockaid trong việc phát hiện và ứng phó mối đe dọa theo thời gian thực, và liệu việc giám sát như vậy có nên trở thành một thành phần tiêu chuẩn của thiết kế giao thức hay không. Cuối cùng, vụ khai thác X100 là một bài học đắt giá về tầm quan trọng của việc gắn kết thiết kế quản trị với các thực tiễn bảo mật tốt nhất.
