Tuần lễ sụp đổ của các cây cầu Solana: Bài học từ Across, Allbridge và TeleSwap
Sóng vỗ, ai đứng vững?
Một tuần, ba cây cầu. Không phải do lỗi thời tiết hay chiến tranh, mà là từ những lỗ hổng kỹ thuật mà tôi đã thấy lặp đi lặp lại suốt 5 năm qua. Across, Allbridge, TeleSwap – mỗi cái tên đều là một vết cắt khác nhau, nhưng cùng chung kết cục: tổng thiệt hại 5,7 triệu USD, hơn 20 vụ tấn công cầu trong năm nay, và 3,55 tỷ USD đã bay hơi. Sóng vỗ, nhưng không phải ai cũng đứng vững.
Bối cảnh câu chuyện bắt đầu từ một thực tế đau đớn: cầu nối giữa các blockchain, đặc biệt là Solana và EVM, luôn là điểm yếu nhất trong toàn bộ hệ sinh thái DeFi. Kể từ mùa hè DeFi 2020, tôi đã chứng kiến vô số dự án hứa hẹn “tài chính mở” nhưng lại xây dựng trên nền tảng cát. Năm 2023, khi thị trường dao động quanh vùng trung tính, sự chú ý đổ dồn vào các cầu nối – và những kẻ tấn công cũng vậy. Across Protocol, Allbridge Core, TeleSwap – cả ba đều hoạt động trên Solana, một hệ sinh thái đã từng bị “càn quét” bởi các vụ hack trước đó.
Phân tích kỹ thuật cho thấy mỗi vụ tấn công mang một “chất độc” riêng. Với Across (mất 570.000 USD), kẻ tấn công đã khai thác một lỗ hổng trong cơ chế “người chuyển tiếp” (relayer). Tôi nhớ lại lần đầu đọc whitepaper của Across vào năm 2022: họ tuyên bố chỉ có relayer mới chịu rủi ro, người dùng an toàn. Nhưng thực tế, nếu relayer bị tấn công thì chuỗi tin cậy sụp đổ. Kẻ tấn công đã rửa tiền qua Tornado Cash và sàn FixedFloat không KYC – một dấu hiệu cho thấy họ biết rõ cách xóa dấu vết. Trong khi đó, Allbridge Core (mất 570.000 USD) lại là một câu chuyện kinh điển về tấn công thao túng giá bằng flash loan. Tôi từng viết một bài phân tích vào tháng 6/2023 về rủi ro của các pool thanh khoản không có cơ chế chống trượt giá, và Allbridge chính là minh chứng sống. Kẻ tấn công đã vay flash loan, đẩy giá của pool trên Solana lên cao, đúc stablecoin vượt quá giá trị thực, rồi rút tiền. Allbridge sau đó kêu gọi những người “ăn chênh lệch” trả lại tiền – một giải pháp xã hội hóa rủi ro thay vì kỹ thuật. Cuối cùng, TeleSwap (mất 4,5 triệu USD) là vụ đau đớn nhất: một cây cầu Bitcoin-Solana bị tấn công trực tiếp vào ví nóng của họ. ZachXBT phát hiện ra dòng tiền đáng ngờ, nhưng TeleSwap im lặng suốt 5 ngày. Không một thông báo, không một lý giải. Điều đó cho thấy một dự án không có quy trình bảo mật, không có trách nhiệm với người dùng.
Sóng vỗ, ai đứng vững? Nhưng tôi lại nhìn thấy một góc nhìn phản trực giác. Trong khi thị trường hoảng loạn và FUD lan rộng, chính những sự cố này lại là cơ hội để thế hệ cầu nối tiếp theo ra đời. Hãy nhìn vào Across: họ đã nhanh chóng đưa ra thông báo, đóng băng hợp đồng và hứa hẹn một báo cáo sau sự cố. Đó là tín hiệu của một đội ngũ biết mình sai và muốn sửa. Allbridge tuy yếu kém về mặt kỹ thuật nhưng lại minh bạch trong giao tiếp – họ thậm chí còn tag cộng đồng để xin lời khuyên. Còn TeleSwap? Sự im lặng của họ chính là tấm vé một chiều đến nghĩa địa. Tôi từng nói với các nhà đầu tư của quỹ mình: “Trong thị trường tăng trưởng, ai cũng có thể tạo ra câu chuyện đẹp. Chỉ khi sóng vỗ, ta mới biết ai thực sự đứng vững.” Câu chuyện của ba cây cầu này sẽ là bài học cho toàn bộ ngành. Và tôi tin rằng, sau cơn bão, các giải pháp cầu nối dựa trên zero-knowledge proof (như zk-bridge) sẽ trở thành tiêu chuẩn mới, thay thế những thiết kế cũ dựa trên relayer hay trusted-setup.
Takeaway của tôi không phải là lời khuyên đầu tư, mà là một câu hỏi cho tất cả chúng ta: Liệu chúng ta có đang chạy theo câu chuyện “khả năng tương tác” mà quên mất nền tảng của nó là sự an toàn? Khi tôi tham gia ICO mùa hè 2017, tôi tin vào câu chuyện thanh toán phi tập trung. Khi DeFi Summer 2020 nổ ra, tôi tin vào tài chính mở. Nhưng sau NFT Explosion 2021, tôi học được rằng niềm tin không thể thay thế cho code audit. Và sau Bear Market 2022, tôi hiểu rằng chỉ có những dự án thực sự vững vàng mới tồn tại. Sóng vỗ, ai đứng vững? Câu trả lời đang dần hiện ra trước mắt chúng ta.
Bài viết này được viết từ kinh nghiệm thực chiến của một người đã nhìn thấy năm chu kỳ thị trường. Không phải để dự đoán giá token, mà để cảnh tỉnh về rủi ro kỹ thuật đang bị che giấu bởi sự phấn khích. Đừng để câu chuyện “bridge” trở thành câu chuyện “giấc mơ tan vỡ”. Hãy nhìn vào code, hãy nhìn vào cách đội ngũ phản ứng khi sóng vỗ. Đó mới là thứ quyết định sự sống còn.