Nhóm hacker Triều Tiên khai thác điểm yếu cấu trúc DeFi, cuỗm 500 triệu USD qua hạ tầng cross-chain LayerZero

Bài viết này phân tích chuỗi tấn công mới nhất của nhóm tin tặc liên quan Triều Tiên nhắm vào hạ tầng cốt lõi *tài chính phi tập trung DeFi*, qua đó phơi bày *các điểm yếu mang tính cấu trúc* của thị trường. Sau vụ Drift, giao thức Kelp tiếp tục bị khai thác, khiến nhiều chuyên gia nhận định đây không còn là những vụ hack đơn lẻ mà là một chiến lược *chiếm đoạt vốn có hệ thống* với mục tiêu dài hạn.

Theo các dữ liệu on-chain và tổng hợp từ nhiều đơn vị phân tích bảo mật, chỉ trong chưa đầy 3 tuần, hai cuộc tấn công đã khiến khoảng 500 triệu đô la Mỹ (tương đương khoảng 7.359 tỷ đồng) bị rút cạn khỏi hệ sinh thái DeFi. Đáng chú ý, vụ tấn công Kelp nhắm trực diện vào hạ tầng *cross-chain* của LayerZero – lớp kết nối phục vụ *tài sản di chuyển và tái sử dụng (restaking)* trên nhiều chuỗi. Khi lớp hạ tầng này bị xâm nhập, phạm vi lây lan mở rộng rất nhanh, tạo ra “hiệu ứng domino” sang nhiều dự án và giao thức khác trong hệ sinh thái.

이번 공격의 핵심은 기존 해킹과 다르다. 암호를 해독하거나 개인 키를 탈취하지 않았다. 대신 시스템이 정상적으로 작동하도록 설계된 ‘신뢰 구조’를 악용했다.

해커들은 입력 데이터 자체를 조작했고, 시스템은 이를 검증 없이 받아들여 실제로 발생하지 않은 거래를 승인했다. ENS랩스의 알렉산더 어벨리스 최고정보보호책임자는 “서명은 작성자를 증명할 뿐, 내용의 진실까지 보장하지 않는다”며 이번 사건을 ‘서명된 거짓말’로 규정했다.

블록체인 보안업체 SVRN의 데이비드 슈베드 COO 역시 “암호 기술이 아니라 시스템 설계 방식 자체를 노린 공격”이라고 설명했다.

Ở cấp độ kiến trúc, *điểm yếu chí mạng* nằm ở mô hình “*một trình xác thực duy nhất*” cho thông điệp cross-chain. Kelp được thiết kế phụ thuộc vào một bên xác thực để phê duyệt thông điệp giữa các chuỗi. Cách làm này giúp tối ưu tốc độ và trải nghiệm, nhưng đồng thời loại bỏ bớt lớp phòng thủ quan trọng. Khi trình xác thực duy nhất đó bị thao túng hoặc cấp sai dữ liệu, cả hệ thống chấp nhận “giao dịch giả” như thật, đúng với mô tả “chữ ký cho một lời nói dối” mà ENS Labs đưa ra.

Theo các chuyên gia an ninh, bản chất tấn công cho thấy kẻ xấu không cần phá vỡ *mật mã* hay chiếm đoạt private key, mà lợi dụng chính *cấu trúc tin cậy* vốn được thiết kế để xử lý giao dịch bình thường. Hệ thống vẫn vận hành “đúng như thiết kế”, nhưng thiết kế lại cho phép dữ liệu sai đi qua mà không bị chặn. Điều này biến hạ tầng bảo mật thành “cửa ngõ mở sẵn”, thay vì hàng rào phòng vệ.

레이어제로는 이후 복수의 독립 검증자를 도입하라고 권고했지만, 업계에서는 기본 설정 자체가 문제였다는 지적이 나온다. 슈베드는 “위험한 설정이라면 애초에 선택지로 제공하면 안 된다”며 “모든 사용자가 문서를 완벽히 이해할 것이라는 가정은 비현실적”이라고 말했다.

Một vấn đề khác là tài sản gắn với Kelp đã được sử dụng rộng rãi làm tài sản thế chấp tại nhiều giao thức khác, bao gồm cả các nền tảng cho vay tương tự Aave. Khi tài sản nền bị thao túng hoặc bốc hơi, các vị thế vay – cho vay liên quan lập tức chịu ảnh hưởng. Điều này lý giải vì sao một lỗ hổng ở một giao thức *restaking* lại có thể gây ra *làn sóng tổn thất lan truyền* trên toàn hệ sinh thái DeFi.

Sự cố còn làm dấy lên tranh luận về mức độ *phi tập trung thực sự* của các giao thức hiện nay. Mô hình “một trình xác thực duy nhất” trên thực tế rất gần với một điểm tập trung quyền lực. Chỉ cần điểm này sập, cả chuỗi phụ thuộc phía sau kéo theo. Các chuyên gia bảo mật nhấn mạnh: *mức độ phi tập trung của hệ thống bị giới hạn bởi mắt xích tập trung nhất trong kiến trúc*, và chính mắt xích đó đã bị tin tặc nhắm tới.

Thực tế, hướng tấn công của nhóm hacker bị nghi liên quan Triều Tiên thời gian gần đây cũng đang dịch chuyển rõ rệt. Thay vì khai thác lỗi hợp đồng thông minh đơn lẻ hoặc tấn công sàn giao dịch tập trung như trước, chúng chuyển trọng tâm sang các lớp *hạ tầng kết nối*: oracle dữ liệu, cầu nối cross-chain, giao thức restaking. Đây là những khu vực ít được người dùng cuối chú ý, nhưng kiểm soát dòng chảy giá trị giữa hàng chục chuỗi và giao thức khác nhau. Khi một điểm trong mạng lưới đó bị chiếm quyền, *tác động tài chính* vượt xa con số của riêng một dự án.

Trong bối cảnh đó, vụ Kelp không hẳn phơi bày một lỗ hổng kỹ thuật hoàn toàn mới, mà cho thấy *những rủi ro đã được cảnh báo từ lâu đang bị bỏ mặc*. Cơ chế bảo mật kiểu “tùy chọn” hoặc “khuyến nghị nên bật” khiến nhiều dự án tiếp tục ưu tiên tốc độ triển khai, TVL và trải nghiệm người dùng, hơn là mô hình an ninh nhiều lớp. Khi tấn công ngày càng tinh vi, *tốc độ phản ứng* và *lựa chọn kiến trúc* có thể trở thành rủi ro lớn hơn cả bản thân lỗ hổng.

Trong tương lai gần, khi *cross-chain* và *restaking* tiếp tục mở rộng, *các điểm yếu mang tính cấu trúc* trong hạ tầng DeFi nếu không được xử lý sớm sẽ phải trả giá bằng những khoản thiệt hại ngày càng phình to. Với việc các nhóm hacker nhà nước như các tổ chức liên quan Triều Tiên đã chứng minh khả năng khai thác loạt lỗ hổng liên tiếp, bảo mật không còn là “tùy chọn chiến lược” mà trở thành *điều kiện sống còn* của toàn bộ thị trường *tài chính phi tập trung DeFi*.