Vụ tấn công KelpDAO phơi bày một điểm yếu quen thuộc của Web3: blockchain vẫn xử lý giao dịch bình thường dù dữ liệu đầu vào đã bị làm sai.
Sự việc này làm rõ rủi ro nằm ở lớp dữ liệu và cách ứng dụng xác minh thông tin, không chỉ ở bản thân chuỗi khối. Nó cũng nối tiếp làn sóng tấn công DeFi trong tháng 4 và tháng 5, khi nhiều giao thức tiếp tục ghi nhận thiệt hại từ các lỗi logic và dữ liệu sai lệch.
- KelpDAO bị khai thác vì lớp xác minh dữ liệu tin vào nguồn thông tin hạn chế, trong khi blockchain vẫn chấp nhận giao dịch là hợp lệ.
- Làn sóng tấn công trong tháng 4 và tháng 5 cho thấy rủi ro không chỉ đến từ hợp đồng thông minh mà còn từ RPC, chỉ mục dữ liệu và cơ chế kiểm tra đầu vào.
- Yếu tố tốc độ là điểm nghẽn lớn: nhiều vụ tấn công diễn ra gần như ngay lập tức, còn việc phát hiện và phản ứng thường chậm hơn nhiều.
KelpDAO cho thấy lỗi nằm ở lớp dữ liệu có thể nguy hiểm thế nào
Theo Victor Fei của Ormilabs, vụ KelpDAO là ví dụ rõ ràng cho thấy một ứng dụng vẫn có thể hoạt động dù trạng thái blockchain không khớp với dữ liệu mà hệ thống đang dùng. Vấn đề không nằm ở việc blockchain ngừng xác nhận giao dịch, mà ở chỗ ứng dụng đã dựa vào dữ liệu sai để ra quyết định.
Fei cho biết nhiều ứng dụng Web3 không đọc trực tiếp từ blockchain. Thay vào đó, chúng lấy dữ liệu qua các lớp trung gian như RPC node hoặc hệ thống chỉ mục. Cách làm này phổ biến vì Ethereum và nhiều chuỗi cũ không còn phù hợp để hầu hết ứng dụng truy cập trực tiếp theo từng yêu cầu. Nhưng khi nguồn dữ liệu bị giới hạn, hệ thống dễ phụ thuộc vào một nhóm nhỏ RPC node. Nếu một phần nguồn này bị xâm phạm hoặc tạm thời không phản hồi, ứng dụng có thể vận hành trên dữ liệu sai trong khi blockchain bên dưới vẫn coi giao dịch là hợp lệ.
Vì sao các vụ tấn công gần đây làm lộ rủi ro của Web3
Làn sóng tấn công trong tháng 4 làm dấy lên câu hỏi về cách các ứng dụng truy cập dữ liệu và cho phép giao dịch. Đến tháng 5, tình trạng này vẫn tiếp diễn, với 930.000 USD thiệt hại tính đến thời điểm được ghi nhận. Bisq Protocol mới đây cũng mất 858.000 USD do lỗi logic của giao thức và một cuộc tấn công bằng client giả, theo dữ liệu từ DeFiLlama.
Diễn biến này cho thấy rủi ro không chỉ nằm ở một giao thức riêng lẻ. Khi dữ liệu đầu vào sai, ứng dụng có thể vẫn xử lý giao dịch đúng quy trình kỹ thuật nhưng sai về mặt logic kinh tế. Với DeFi lending và các hệ thống phụ thuộc nhiều vào trạng thái tài khoản, hậu quả có thể lan rộng sang thanh khoản, định giá và khả năng kiểm soát dòng tiền.
Điểm yếu lớn nhất là tốc độ tấn công nhanh hơn phản ứng phòng thủ
Với KelpDAO, Drift Protocol và một số vụ việc gần đây khác, thời gian thực thi là yếu tố khiến thiệt hại tăng nhanh. Nhiều giao dịch diễn ra ngay lập tức và được chốt ở block kế tiếp, gần như không có khoảng chờ hay lớp kiểm tra bổ sung. Điều đó tận dụng đúng lợi thế mà Web3 thường quảng bá: giao dịch nhanh và không cần xin phép, nhưng cũng khiến kẻ tấn công có thể rút tiền rất nhanh.
“Tương lai của an ninh Web3 phụ thuộc vào tốc độ. Dữ liệu của chúng tôi cho thấy tấn công và rửa tiền diễn ra nhanh và rẻ, còn phản ứng của đội ngũ thì chậm và tốn kém.”
– Vladyslav Syrotin, Giám đốc điều tra tại Global Ledger
Syrotin cho rằng các dự án cần rút ngắn thời gian phát hiện để bắt được dòng tiền rời đi bất thường, thanh khoản giảm đột ngột hoặc các lệnh gọi hợp đồng đáng ngờ. Ông nói cảnh báo và chặn giao dịch nên được tự động hóa trong vòng một giây sau khi có dấu hiệu tấn công, còn việc tổng hợp báo cáo và gắn nhãn dữ liệu nên hoàn tất trong 10 phút. Hiện nay, việc cộng dồn thiệt hại và lần theo cụm ví của kẻ tấn công thường mất hàng giờ, thậm chí hàng ngày.
Ông cũng cho rằng ngay cả kịch bản chậm hơn, với cảnh báo trong 30 giây và gắn nhãn trong bốn giờ, vẫn có thể ngăn khoảng một nửa số sự cố và giảm thiệt hại. Tuy vậy, dữ liệu hiện có chưa cho thấy các dự án đã áp dụng đồng loạt các ngưỡng này hay chưa.
Còn thiếu gì để đánh giá đầy đủ hơn
Dữ liệu hiện tại mới cho thấy rủi ro nổi lên ở lớp xác minh dữ liệu, tốc độ phản ứng và sự phụ thuộc vào nguồn trung gian. Chưa có thêm chi tiết trong phần thông tin này về phạm vi ảnh hưởng cụ thể đến từng người dùng, cách khắc phục của KelpDAO hay mức độ thay đổi của các giao thức khác sau các vụ việc gần đây. Vì vậy, có thể kết luận chắc nhất rằng Web3 đang gặp vấn đề đáng kể ở khâu dữ liệu đầu vào và giám sát theo thời gian thực.
Tổng kết
Vụ KelpDAO không chỉ là một sự cố riêng lẻ mà là ví dụ về cách một lớp dữ liệu sai có thể khiến blockchain xử lý giao dịch hợp lệ trên nền thông tin không đúng. Khi các vụ tấn công tiếp diễn trong tháng 4 và tháng 5, câu hỏi lớn của Web3 không chỉ là bảo vệ hợp đồng thông minh, mà còn là kiểm tra dữ liệu, theo dõi hành vi bất thường và rút ngắn thời gian phản ứng trước khi thiệt hại lan rộng.
