Một dự án L2 vừa khôi phục sau 14 ngày tê liệt. Người dùng không mất tiền, nhưng tôi thấy một vết nứt nguy hiểm hơn nhiều.
Bạn có tin vào một cánh cửa khóa mà không ai kiểm tra bản lề?
Đầu tháng 7, SOON – một Layer 2 tương thích Solana VM – bị tấn công. Không phải lỗi smart contract. Không phải reentrancy. Kẻ xâm nhập chỉ cần một “dịch vụ cấu hình sai” và “kiểm soát truy cập lỏng lẻo” để đặt chân vào môi trường nội bộ. Hậu quả: mạng chính ngừng hoạt động từ 12/7, RPC sập, người dùng không thể mint NFT hay claim token. Mãi đến 27/7, mọi thứ mới trở lại bình thường.
Đây là câu chuyện về một vụ hack không điển hình – và bài học đắt giá cho cả ngành L2.
Hook
Ngày 12/7/2025, một giao dịch bất thường xuất hiện trên internal dashboard của SOON. Kẻ tấn công không cần exploit any smart contract. Chỉ cần một cổng RPC không được cấu hình đúng, một tài khoản service có quyền quá rộng. Trong vòng vài giờ, họ đã leo thang từ một dịch vụ biên vào sâu trong mạng nội bộ. Sequencer vẫn chạy, nhưng block không thể được sản xuất. L2 ngừng thở.
Lỗ 50%? Đó là chi phí học tập. Nhưng ở đây, chi phí không phải tiền – mà là niềm tin.
Context
SOON là một trong số ít L2 chạy Solana Virtual Machine (SVM), cạnh tranh với Eclipse và Neon EVM. Dự án ở giai đoạn testnet/mainnet sớm. Họ hứa hẹn hiệu suất cao nhờ SVM, nhưng lại quên mất một điều: cơ sở hạ tầng off-chain an toàn mới là xương sống.
Khi sự cố xảy ra, đội ngũ SOON đã xử lý theo quy trình: ngắt kết nối, cô lập, vá lỗi, khôi phục dần. Họ thuê BlockSec – một công ty bảo mật uy tín – để xác nhận không có tài sản người dùng nào bị mất. Ngày 21/7, tính năng mint NFT và claim token hoạt động trở lại. Ngày 27/7, RPC và sản xuất block hoàn toàn bình thường.
Nhưng tôi không vỗ tay. Bởi vì 14 ngày downtime trong thế giới crypto là một thế kỷ. Và sự im lặng về chi tiết kỹ thuật khiến tôi đặt câu hỏi: Họ đã vá bề mặt hay đã đào móng?
Core
Hãy nhìn vào kỹ thuật.
Kẻ tấn công không cần biết gì về Solana hay Rust. Họ chỉ cần một kỹ năng phổ biến: exploit misconfiguration. Đây là lỗi mà OWASP xếp vào top 10 nguy cơ web, nhưng trong blockchain, nó bị xem nhẹ vì mọi người chỉ nhìn vào smart contract.
Thông thường, một L2 có nhiều thành phần off-chain: RPC node, block explorer backend, database, CI/CD pipeline, internal admin panel. Nếu một service biên (ví dụ: public RPC) được cấu hình sai, attacker có thể leo thang sang các service nội bộ. SOON thừa nhận attacker đã ‘tiến sâu hơn vào môi trường nội bộ’ – điều đó có nghĩa là họ đã lấy được credential, có thể đọc database, hoặc thậm chí ghi đè cấu hình.
Tại sao mất 14 ngày để sửa? Vì bạn không chỉ tắt một cổng. Bạn phải: (1) rotate tất cả secret, (2) audit từng service xem có backdoor không, (3) thiết lập lại network policy, (4) kiểm tra lại toàn bộ chuỗi cung ứng phần mềm. 14 ngày là hợp lý nếu họ làm kỹ, nhưng nếu họ chỉ deploy lại bản cũ với mật khẩu mới?
Lỗ 50%? Đó là chi phí học tập. Nhưng bài học này đã được dạy từ năm 2016 với sự cố DAO. Tại sao các dự án mới vẫn mắc? Vì họ nghĩ “chúng tôi nhỏ, ai thèm hack?” – sai lầm chết người.
Contrarian
Bạn nghĩ rằng vì tiền không mất nên không sao? Hãy nghe góc nhìn ngược.
Sự cố lần này còn nguy hiểm hơn một lỗi smart contract thông thường. Vì sao? Vì lỗi smart contract có thể được fix bằng một bản nâng cấp proxy, ai cũng thấy. Còn lỗi vận hành off-chain – nó nằm trong bóng tối. Nó cho thấy văn hóa bảo mật của đội ngũ. Nó tiết lộ rằng họ không có zero-trust architecture, không có network segmentation, không có multi-factor authentication cho các service quan trọng.
Nếu tôi là một DeFi protocol đang cân nhắc deploy trên SOON, tôi sẽ hỏi: “Liệu internal API key của bridge có bị lộ không? Liệu sequencer của các ông có thể bị chiếm quyền điều khiển từ xa không?”. Câu trả lời hiện tại là: “Chúng tôi chưa biết, nhưng chúng tôi đã vá.”
Và đây là điều phản trực giác: Người dùng không mất tiền, nhưng dự án mất đi thứ quý giá nhất – trust của builder. Trong cuộc đua L2, trust là tài sản duy nhất không thể mint thêm. Mỗi đối thủ như Eclipse hay Neon EVM sẽ dùng sự kiện này để kéo developer về phía họ.
Lỗ 50%? Đó là chi phí học tập. Nhưng chi phí này có thể khiến SOON mất cả cuộc chơi.
Takeaway
Vậy chúng ta học được gì?
Đầu tiên, bảo mật L2 không chỉ nằm ở circuit hay fraud proof. Nó nằm ở cách đội ngũ vận hành infrastructure. Một node RPC cấu hình sai cũng nguy hiểm như một reentrancy bug.
Thứ hai, thời gian phục hồi là thước đo mức độ nghiêm trọng. 14 ngày là quá dài. Nếu SOON thực sự có kế hoạch DR (disaster recovery) tốt, họ có thể khôi phục trong 48 giờ. Sự chậm trễ cho thấy họ đang mò mẫm.
Cuối cùng, câu hỏi không phải là “SOON có an toàn không?” mà là “SOON có đủ kỷ luật để không tái phạm?”. Tôi sẽ theo dõi xem họ có công bố post-mortem chi tiết, có thuê auditor bên ngoài (Trail of Bits, OpenZeppelin) và có thay đổi nhân sự bảo mật hay không. Nếu họ chỉ đăng một dòng tweet “đã vá” – hãy coi chừng.
Lỗ 50%? Đó là chi phí học tập. Nhưng nếu bạn học sai bài, bạn sẽ trả giá nhiều lần.