Drift Protocol trên Solana(SOL) nghi bị tấn công 280 triệu USD do lỗ hổng multi-signature và social engineering

Solana(SOL) 기반 sDrift Protocol(Drift Protocol) vừa được cho là đã bị tấn công với quy mô lên tới khoảng 280 triệu USD, trở thành một trong những sự cố nghiêm trọng nhất trên hệ sinh thái Solana. Vụ việc không xuất phát từ lỗ hổng *từ*smart contract* mà chủ yếu xoay quanh *từ*social engineering*, quy trình phê duyệt *từ*multi-signature* (đa chữ ký) và cơ chế *từ*durable nonce* trên Solana, qua đó phơi bày thêm những khoảng trống trong bảo mật của thị trường tiền mã hóa.

Theo các bài đăng cập nhật từ đội ngũ Drift Protocol trong ngày 1 tháng 4 (giờ địa phương), nền tảng đã phát hiện “hoạt động bất thường” trên giao thức vào khoảng 19h (UTC+1) và nhanh chóng đưa ra cảnh báo tới người dùng. Giao thức khuyến nghị người dùng tạm thời không nạp tiền, đồng thời nhấn mạnh đây không phải “trò đùa Cá tháng Tư”. Ngay sau đó, Drift thông báo tạm dừng toàn bộ hoạt động nạp – rút khi tấn công đang diễn ra. Trên thị trường, các nhà nghiên cứu on-chain lập tức đặt nghi vấn về một vụ rút cạn thanh khoản quy mô lớn, thậm chí xem xét khả năng rò rỉ khóa cá nhân liên quan đến ví quản trị.

Đội ngũ Drift sau đó công bố một dòng thời gian chi tiết, khẳng định vụ tấn công không bắt nguồn từ lỗi mã nguồn hay bug trong *từ*smart contract*, mà là một chiến dịch chuẩn bị trong nhiều tuần, được triển khai theo từng bước rất bài bản. Mấu chốt được cho là việc kẻ tấn công lợi dụng tài khoản *từ*durable nonce* trên Solana – một công cụ cho phép ký giao dịch ngoại tuyến, không phụ thuộc vào blockhash mới nhất – kết hợp với tấn công *từ*social engineering* nhắm vào thành viên nội bộ, từ đó làm suy yếu quy trình phê duyệt của hội đồng bảo mật đa chữ ký.

Theo giải thích từ Drift, ngày 23 tháng 3 đã xuất hiện bốn tài khoản *từ*durable nonce* mới. Hai tài khoản trong số này có liên quan đến ví *từ*multi-signature* của ủy ban bảo mật Drift, hai tài khoản còn lại được liên kết với địa chỉ thuộc về kẻ tấn công. Đến ngày 27 tháng 3, Drift tiến hành thay đổi thành viên hội đồng và chuyển giao cấu trúc *từ*multi-signature* sang thiết lập mới. Ba ngày sau, trong ví của thành viên *multi-sig* mới lại xuất hiện thêm một tài khoản *durable nonce* khác. Theo phân tích ban đầu, chuỗi thao tác này giúp kẻ tấn công từng bước tiếp cận quyền ký của 2 trên 5 khóa trong cơ chế đa chữ ký – đủ để hợp thức hóa các giao dịch ác ý nếu ngưỡng phê duyệt được đặt ở mức thấp.

Vào ngày xảy ra vụ việc, kẻ tấn công được cho là đã thử rút một khoản nhỏ từ quỹ bảo hiểm của giao thức như một phép “thử đường”. Sau đó, chúng sử dụng quyền phê duyệt từ *từ*multi-signature* để kích hoạt các giao dịch quản trị đã được chuẩn bị sẵn thông qua *từ*durable nonce*. Bằng cách này, kẻ tấn công chiếm quyền kiểm soát ở cấp độ giao thức, vô hiệu hóa các giới hạn rút tiền được cấu hình trước và thực hiện chuyển tài sản ra khỏi hệ thống. Nhiều dữ liệu on-chain cho thấy một lượng lớn tài sản, bao gồm *từ*USDC* trên Solana, đã được luân chuyển qua cầu nối sang Ethereum và các mạng khác ngay trong khung thời gian ngắn.

Vụ tấn công cũng làm bùng lên tranh cãi xoay quanh mức độ “*từ*phi tập trung*” thực sự của Drift Protocol, cũng như phản ứng của tổ chức phát hành stablecoin *từ*Circle*. Nhà phân tích on-chain ZachXBT chỉ trích trên mạng xã hội rằng trong nhiều giờ, hàng chục triệu USD *USDC* đã được chuyển từ Solana sang Ethereum nhưng Circle vẫn chưa tiến hành đóng băng kịp thời, dù Drift đã tích hợp giao thức chuyển tài sản xuyên chuỗi của Circle. Theo ông, việc chậm trễ đóng băng địa chỉ khả nghi đã khiến khó ngăn chặn phần lớn tài sản bị tẩu tán.

Một bộ phận người dùng cũng đặt dấu hỏi về cấu trúc kiểm soát của Drift. Họ cho rằng việc gọi đây là một giao thức “*từ*phi tập trung*” là chưa thuyết phục, khi thực tế cơ chế *multi-sig* tập trung quyền lực vào một nhóm nhỏ, thậm chí cho phép thực thi giao dịch chỉ với 2 trên 5 chữ ký. Cấu hình như vậy bị xem là điểm yếu nghiêm trọng, dễ bị khai thác thông qua *social engineering* hoặc rủi ro nội gián.

Đội ngũ Drift cho biết đang phối hợp với các công ty bảo mật, cơ quan thực thi pháp luật, các dự án cầu nối và sàn giao dịch để truy vết và phong tỏa dòng tiền, đồng thời rà soát toàn bộ quy trình nội bộ. Trong ngành, có ý kiến cho rằng chiến thuật mà kẻ tấn công sử dụng có nhiều nét tương đồng với vụ việc sàn Bybit(Bybit) từng gặp phải vào năm trước, nơi cũng có yếu tố lạm dụng quyền của *multi-sig* và tấn công quy trình thay vì đột phá vào lớp *smart contract*.

bình luận: Vụ việc Drift Protocol trên Solana cho thấy rủi ro bảo mật trong tiền mã hóa không chỉ nằm ở lỗ hổng kỹ thuật của *smart contract*, mà còn ở khâu thiết kế quy trình quản trị, thiết lập *từ*multi-signature* và khả năng chống chịu trước *từ*social engineering*. Khi ngày càng nhiều tài sản được “khóa” trong các giao thức DeFi, việc nâng chuẩn bảo mật nội bộ, đa dạng hóa cơ chế phê duyệt và thiết lập ngưỡng an toàn cao hơn (ví dụ 3/5 hoặc 4/7 thay vì 2/5) sẽ trở thành yêu cầu bắt buộc. Sự cố cũng đặt ra câu hỏi về trách nhiệm và tốc độ phản ứng của các tổ chức tập trung như *từ*Circle* trong hệ sinh thái vốn được quảng bá là “phi tập trung”, buộc toàn thị trường phải nhìn lại ranh giới thật sự giữa phi tập trung và sự phụ thuộc vào các điểm kiểm soát trung tâm.