Morpho Midnight công bố báo cáo kiểm toán, không phát hiện lỗ hổng nghiêm trọng

Morpho Midnight, giao thức cho vay lãi suất cố định và kỳ hạn cố định của Morpho, đã công bố tài liệu kiểm toán bên ngoài và xác minh hình thức (formal verification). Kết quả kiểm toán không phát hiện lỗ hổng nghiêm trọng nào, tuy nhiên việc vượt qua kiểm toán không đồng nghĩa với việc loại bỏ mọi rủi ro tấn công hay đảm bảo sự ổn định trong vận hành dòng vốn.

Các báo cáo liên quan đến Morpho Midnight được công bố trong thư mục kiểm toán trên kho GitHub của dự án và trong danh sách kiểm toán chính thức. Các đợt kiểm toán bên ngoài do Spearbit, Blackthorn, Trust Security, StErMi thực hiện, cùng với cuộc thi kiểm toán công khai của Cantina, được tiến hành từ tháng 4 đến tháng 7 năm 2026.

Kết quả kiểm toán tập trung vào các lỗi ở mức thấp đến trung bình. Tuy nhiên, do mỗi báo cáo xem xét phiên bản mã nguồn và mô hình đe dọa khác nhau, không thể suy rộng rằng toàn bộ rủi ro của giao thức đã được loại bỏ.

Morpho cho biết trong tài liệu khung bảo mật công bố ngày 9 tháng 7 rằng mã nguồn cốt lõi của Midnight được giữ ở mức khoảng 1.100 dòng, đặt tính đơn giản, tính bất biến và tính phi lưu ký làm trọng tâm trong thiết kế bảo mật. Tính bất biến là cấu trúc khiến hợp đồng thông minh khó bị nâng cấp hay thay đổi tùy tiện sau khi triển khai, còn tính phi lưu ký nghĩa là giao thức không trực tiếp giữ tài sản của người dùng.

Kho GitHub cũng bao gồm tài liệu xác minh hình thức sử dụng CVL của Certora. Xác minh hình thức là phương pháp kiểm chứng bằng toán học xem hợp đồng thông minh có thỏa mãn các điều kiện đã đặt ra hay không, và Morpho cho biết đã tiến hành song song việc kiểm thử và xác minh hình thức trước khi thực hiện kiểm toán bên ngoài.

Midnight có cấu trúc khác với thị trường cho vay DeFi thông thường vốn dựa trên lãi suất thả nổi. Lãi suất vay và kỳ hạn được cố định tại thời điểm giao dịch, còn bên cho vay và bên vay giao dịch các đơn vị tín dụng và đơn vị nợ.

Thị trường được tách biệt theo từng tài sản và kỳ hạn, điều kiện của mỗi thị trường không thay đổi sau khi được tạo lập. Tài liệu chính thức của Morpho cho biết Midnight hiện đang được triển khai trên Base.

Cấu trúc lãi suất cố định và kỳ hạn cố định giúp chi phí vay và thời điểm hoàn trả dễ dự đoán hơn. Ngược lại, nếu thanh khoản không đủ trước khi đáo hạn, việc đóng vị thế đúng thời điểm mong muốn có thể gặp khó khăn.

Lỗi từ oracle truyền giá tài sản thế chấp, các cuộc tấn công mang tính kinh tế và vấn đề trong quá trình thanh lý cũng là những yếu tố khó có thể đánh giá đầy đủ chỉ bằng kiểm toán bảo mật. Nguyên nhân là kiểm toán nhằm tìm lỗi trong mã nguồn cụ thể và rủi ro trong quá trình dòng vốn di chuyển trên thị trường thực tế là hai đối tượng xem xét khác nhau.

Cho vay kỳ hạn cố định là cấu trúc thanh toán gốc và lãi theo kỳ hạn đã được ấn định tại thời điểm giao dịch. Vì lãi suất và kỳ hạn được xác định trước nên khả năng dự đoán điều kiện cao, nhưng đi kèm ràng buộc là phải tìm được đối tác giao dịch và đảm bảo thanh khoản trước khi đáo hạn.

Phụ trách bảo mật của Morpho, Merlin Egalite, nhấn mạnh trong một bài đăng trên LinkedIn rằng tính đơn giản, tính bất biến và tính phi lưu ký là các nguyên tắc bảo mật của Midnight. Certora cũng cho biết đã xác minh hình thức các thuộc tính liên quan đến việc tách biệt thị trường, tài sản thế chấp, khả năng thanh toán của người dùng và số dư.

Cả hai phát biểu trên đều là lập trường chính thức từ phía dự án và đơn vị kiểm toán. Khó có thể hiểu đây là rủi ro đã được kiểm chứng thông qua đánh giá độc lập của người dùng hay qua quy mô vận hành thị trường lớn trong thực tế.

Trước đó, cấu trúc cho vay trên Base tập trung vào Morpho từng được nêu cùng với các yếu tố rủi ro như lỗi hợp đồng thông minh, giá trị tài sản thế chấp sụt giảm, thanh lý thất bại và khả năng chậm rút tiền. Đối với Midnight, ngoài kết quả kiểm toán, tình trạng thanh khoản và quản lý tài sản thế chấp của giao thức cũng cần được theo dõi song song.

Giống như trường hợp thị trường cho vay lãi suất cố định của Morpho từng bổ sung tính năng kết nối dòng vốn chờ với cấu trúc lợi suất thả nổi, đối với sản phẩm lãi suất cố định, việc sử dụng vốn trước khi khớp lệnh và quản lý thanh khoản trước khi đáo hạn đều quan trọng. Lợi suất và rủi ro thực tế có thể thay đổi tùy theo điều kiện thị trường, loại tài sản và cách thiết lập.

Việc công bố báo cáo kiểm toán lần này có ý nghĩa ở chỗ giúp bên ngoài có thể xác nhận kết quả rà soát bảo mật của một dự án DeFi. Tuy nhiên, kết luận “không có lỗ hổng nghiêm trọng” chỉ áp dụng cho phạm vi mã nguồn và kiểm toán cụ thể, còn việc đánh giá biến động thanh khoản và khả năng xảy ra tấn công mang tính kinh tế khi quy mô vốn thực tế tăng lên vẫn cần thêm các bước kiểm chứng bổ sung.