Khai thác TranchePool rút cạn 1,01 triệu USDC, phơi bày rủi ro DeFi có cấu trúc
TREE NEWS đưa tin: Theo cảnh báo bảo mật từ SlowMist, một hợp đồng TranchePool liên quan đến ValinorDigital, Oatfi và fence_finance đã bị khai thác khoảng 1,013 triệu USDC. Nguyên nhân gốc rễ dường như là lỗ hổng trong thành phần UT (có thể là lỗi đánh máy của ‘unit’ hoặc ‘utility’) trong kiến trúc hợp đồng thông minh của pool. Sự cố này làm nổi bật những thách thức bảo mật dai dẳng mà các sản phẩm DeFi có cấu trúc gộp vốn qua nhiều tầng rủi ro phải đối mặt.
Chuyện gì đã xảy ra
Hệ thống giám sát của SlowMist đã phát hiện cuộc tấn công nhắm vào TranchePool, một hợp đồng được thiết kế để quản lý rủi ro bằng cách chia tiền gửi thành các tầng ưu tiên (senior) và thứ cấp (junior). Mặc dù chi tiết đầy đủ của vụ khai thác vẫn đang dần được làm rõ, việc mất hơn 1 triệu USD USDC cho thấy mức độ rủi ro cao khi kỹ thuật tài chính phức tạp gặp mã hợp đồng thông minh. Sự tham gia của ValinorDigital, Oatfi và fence_finance cho thấy một thỏa thuận đa bên, có khả năng liên quan đến các khoản phải thu được token hóa hoặc tài sản thế chấp là tài sản thực (RWA) — một xu hướng đang phát triển trong DeFi.
Hàm ý cho ngành
Vụ khai thác này là lời nhắc nhở nghiêm khắc rằng các sản phẩm DeFi có cấu trúc, vốn nhằm mục đích cung cấp các cấu hình rủi ro-lợi nhuận khác biệt, lại đưa vào thêm những tầng phức tạp có thể bị lợi dụng. Cho vay dựa trên tầng (tranche-based lending) đặc biệt đã thu hút sự chú ý như một cách để thu hút vốn tổ chức, nhưng nó cũng tập trung rủi ro vào các hợp đồng thông minh nền tảng. Cuộc tấn công đặt ra câu hỏi về tính đầy đủ của kiểm toán và giám sát thời gian thực đối với các giao thức như vậy. Hơn nữa, sự tham gia của nhiều thực thể — ValinorDigital, Oatfi và fence_finance — làm phức tạp trách nhiệm giải trình và nỗ lực phục hồi, một vấn đề phổ biến trong DeFi có thể kết hợp (composable).
Các công ty bảo mật đã nhiều lần cảnh báo rằng các pool tầng thường dựa vào oracle giá bên ngoài và logic thanh lý phức tạp, cả hai đều là mục tiêu hàng đầu của kẻ tấn công. Lỗ hổng liên quan đến UT, nếu được xác nhận, có thể chỉ ra một khiếm khuyết trong cách pool tính toán giá trị đơn vị hoặc xử lý kế toán cổ phần — một chức năng quan trọng mà nếu bị thao túng có thể dẫn đến các đợt rút tiền quy mô lớn.
Góc nhìn hướng tới tương lai
Khi DeFi trưởng thành, ngành cần vượt ra ngoài các biện pháp bảo mật phản ứng. Các dự án nên ưu tiên xác minh hình thức, chương trình tiền thưởng lỗi (bug bounty) và phát hiện bất thường theo thời gian thực. Đối với nhà đầu tư, sự cố này là lời nhắc nhở cần xem xét kỹ lịch sử kiểm toán và tính minh bạch của đội ngũ đối với các sản phẩm có cấu trúc. Các cơ quan quản lý cũng có khả năng sẽ để tâm, vì tổn thất trong các pool liên kết RWA có thể thúc đẩy các yêu cầu giám sát chặt chẽ hơn. Trong khi trọng tâm trước mắt là phục hồi, bài học rộng hơn là rõ ràng: đổi mới trong DeFi phải được đồng hành bởi các thực tiễn bảo mật đổi mới tương xứng.
