Lido Finance thông báo có điểm yếu bảo mật tiềm ẩn tại hợp đồng endpoint của cầu nối wstETH trên ZKsync và đã tạm dừng các khoản nạp mới cho đến khi khắc phục xong.
Động thái này nhằm giảm rủi ro trong khi chờ bản vá được kiểm toán và triển khai theo quy trình quản trị on-chain của Lido DAO, dù Lido cho biết chưa có dấu hiệu lỗ hổng bị khai thác và người nắm giữ wstETH trên ZKsync hiện không bị ảnh hưởng.
- Lido phát hiện điểm yếu tiềm ẩn ở hợp đồng endpoint cầu nối wstETH trên ZKsync và đã dừng nạp mới.
- Rút tiền từ ZKsync và chuyển token vẫn hoạt động, Lido nói chưa thấy dấu hiệu bị khai thác.
- Bản vá sẽ được kiểm toán và triển khai qua kỳ bỏ phiếu quản trị on-chain dự kiến cuối tháng 3/đầu tháng 4, ảnh hưởng tâm lý thị trường.
Lido tạm dừng nạp mới vào cầu nối wstETH trên ZKsync để phòng ngừa rủi ro
Lido đã tạm dừng các khoản nạp mới vào cầu nối wstETH trên ZKsync do một “điểm yếu tiềm ẩn” tại hợp đồng endpoint, đồng thời khẳng định hiện chưa có dấu hiệu lỗ hổng bị khai thác.
Trong thông báo đăng trên X, Lido cho biết họ “chưa thấy dấu hiệu điểm yếu bị khai thác, và người nắm giữ wstETH trên ZKsync không bị ảnh hưởng”, đồng thời nhấn mạnh không có cầu nối nào khác bị tác động.
Tạm dừng nạp mới là biện pháp “thận trọng tối đa” thường thấy trong các giao thức tiền điện tử khi phát hiện rủi ro ở lớp hợp đồng thông minh, đặc biệt với thành phần liên quan đến bridge, nơi lịch sử ngành từng ghi nhận nhiều sự cố nghiêm trọng.
Điểm yếu nằm ở hợp đồng endpoint của bridge wstETH và phạm vi ảnh hưởng hiện được giới hạn
Lỗ hổng được nhắc đến nằm ở hợp đồng endpoint của cầu nối wstETH giữa Ethereum mainnet và ZKsync, nhưng Lido chưa công bố chi tiết kỹ thuật và nói người dùng hiện không bị ảnh hưởng.
Lido chỉ mô tả đây là “điểm yếu tiềm ẩn” trong “ZKsync wstETH bridge endpoint contract”, tức lớp hợp đồng thông minh hỗ trợ luân chuyển wstETH (wrapped staked ETH) giữa Ethereum và mạng Layer 2 ZKsync.
Quan trọng, Lido khẳng định rút tiền từ ZKsync và chuyển token vẫn không bị ảnh hưởng. Điều này thường hàm ý biện pháp can thiệp đang tập trung vào luồng “deposit/bridge-in” thay vì đóng băng toàn bộ hoạt động trên cầu nối.
Rút tiền và chuyển token vẫn hoạt động dù nạp mới đã bị tạm dừng
Lido cho biết việc rút tiền từ ZKsync và chuyển token vẫn diễn ra bình thường, trong khi chỉ tạm dừng nạp mới cho đến khi triển khai bản vá.
Việc tách biệt trạng thái “pause deposit” với “withdraw/transfer” giúp giảm tác động cho người đang nắm giữ wstETH trên ZKsync, vì họ vẫn có thể di chuyển tài sản hoặc rút về theo nhu cầu.
Tuy nhiên, người dùng có kế hoạch đưa wstETH từ Ethereum sang ZKsync qua cầu nối này sẽ phải chờ mở lại nạp mới sau khi bản vá được triển khai.
Lido chưa công bố chi tiết kỹ thuật về lỗ hổng
Lido hiện chưa công khai bản chất kỹ thuật của điểm yếu, chỉ xác nhận có báo cáo về rủi ro tiềm ẩn trong hợp đồng endpoint của cầu nối wstETH trên ZKsync.
Việc không công bố chi tiết ngay lập tức là lựa chọn phổ biến trong xử lý sự cố bảo mật, nhằm hạn chế việc thông tin bị lợi dụng khi bản vá chưa được triển khai rộng rãi.
Trong thực tế vận hành DeFi, các dự án thường công bố đầy đủ hơn sau khi hoàn tất kiểm toán, triển khai bản vá, và đánh giá liệu có dấu hiệu khai thác hay không. Lido cho biết sẽ cập nhật thêm và khôi phục nạp tiền khi bản vá đã hoạt động.
Cơ chế emergency multisig cho phép Lido can thiệp khẩn cấp ở phía ZKsync
Lido có cơ chế emergency multisig có thể vô hiệu hóa nạp và rút trên phía ZKsync khi cần, và lần này khả năng cao cơ chế đó đã được kích hoạt để dừng nạp mới.
Theo mô tả, emergency multisig là “cần gạt” vận hành khẩn cấp, cho phép phản ứng nhanh trước rủi ro mà không phải chờ toàn bộ quy trình quản trị kéo dài. Điều này đặc biệt quan trọng với các thành phần bridge vì rủi ro có thể lan nhanh nếu bị khai thác.
Dù vậy, việc sử dụng cơ chế khẩn cấp cũng đặt ra kỳ vọng về minh bạch và phục hồi trạng thái bình thường sau khi có bản vá đã kiểm toán, nhằm cân bằng giữa an toàn và tính phi tập trung.
Bản vá sẽ được kiểm toán và triển khai qua bỏ phiếu quản trị on-chain vào cuối tháng 3 hoặc đầu tháng 4
Lido cho biết bản vá đã được chuẩn bị, sẽ được kiểm toán và triển khai thông qua kỳ bỏ phiếu quản trị on-chain theo lịch (cuối tháng 3/đầu tháng 4), sau đó nạp mới sẽ được mở lại.
Lido viết rằng “một bản vá đã được chuẩn bị và sẽ được kiểm toán và triển khai thông qua kỳ bỏ phiếu omnibus quản trị on-chain theo lịch tiếp theo (cuối tháng 3/đầu tháng 4), sau đó việc nạp sẽ được khôi phục”.
Việc phụ thuộc vào bỏ phiếu quản trị phản ánh cấu trúc phi tập trung và các lớp kiểm soát thay đổi (upgrade safeguards). Tuy nhiên, với nhà đầu tư và người dùng, điều này cũng đồng nghĩa thời điểm khắc phục chịu tác động bởi nhịp điều phối on-chain.
“Cho đến hiện tại, chưa có dấu hiệu cho thấy điểm yếu bị khai thác, và người nắm giữ wstETH trên ZKsync không bị ảnh hưởng. Không có cầu nối nào khác bị ảnh hưởng.”
– Lido Finance, thông báo trên X
Tâm lý thị trường bị ảnh hưởng khi thời gian khắc phục kéo dài đến cuối tháng 3/đầu tháng 4
Sau thông báo, LDO và ZK giảm giá trong 24 giờ gần nhất, trong bối cảnh thị trường lo ngại phải chờ đến cuối tháng 3 hoặc đầu tháng 4 mới có bản vá được triển khai.
Dữ liệu thị trường cho thấy LDO giảm hơn 3,5% trong 24 giờ qua, giao dịch ở mức 0,3057 USD, theo CoinMarketCap về Lido DAO. Token ZK cũng giảm hơn 3,1% về 0,01863 USD trong cùng giai đoạn, theo CoinMarketCap về ZKsync.
Lido lưu ý cả hai token đã có xu hướng giảm trước khi thông báo được đưa ra. Dù vậy, việc tạm dừng nạp mới và lịch triển khai bản vá theo quản trị vẫn có thể làm tăng biến động ngắn hạn.
Vì sao sự cố liên quan Lido có thể mang tính hệ thống với Ethereum
Lido quản lý khoảng một phần ba lượng ether đang stake trên Ethereum, nên bất kỳ rủi ro bảo mật nào—kể cả mới ở mức nhận diện—có thể tác động rộng hơn phạm vi tích hợp ZKsync.
Với vị thế là nhà vận hành staking lớn nhất, các thay đổi vận hành hoặc sự kiện bảo mật liên quan Lido thường được theo dõi sát vì có thể ảnh hưởng đến niềm tin vào hạ tầng staking, thanh khoản LSD, và các chiến lược DeFi dùng wstETH làm tài sản thế chấp.
Trong ngắn hạn, thông điệp “withdrawals vẫn hoạt động” và “chưa có dấu hiệu bị khai thác” giúp giảm lo ngại cho người đang nắm giữ wstETH trên ZKsync. Rủi ro chính còn lại là chờ bản vá và theo dõi các cập nhật tiếp theo.
Những câu hỏi thường gặp
Lido đã dừng những hoạt động nào trên ZKsync?
Lido tạm dừng các khoản nạp mới vào cầu nối wstETH trên ZKsync. Lido cho biết rút tiền từ ZKsync và chuyển token vẫn không bị ảnh hưởng.
Người nắm giữ wstETH trên ZKsync có bị ảnh hưởng không?
Theo Lido, hiện chưa có dấu hiệu điểm yếu bị khai thác và người nắm giữ wstETH trên ZKsync không bị ảnh hưởng.
Lido có công bố chi tiết kỹ thuật của lỗ hổng không?
Chưa. Lido chỉ nói có “điểm yếu tiềm ẩn” trong hợp đồng endpoint của cầu nối wstETH trên ZKsync và chưa chia sẻ bản chất kỹ thuật.
Khi nào Lido mở lại nạp mới vào cầu nối?
Lido cho biết bản vá đã chuẩn bị, sẽ được kiểm toán và triển khai qua kỳ bỏ phiếu quản trị on-chain theo lịch vào cuối tháng 3 hoặc đầu tháng 4, sau đó nạp sẽ được khôi phục.
Giá LDO và ZK đã phản ứng như thế nào sau thông báo?
LDO giảm hơn 3,5% trong 24 giờ gần nhất xuống 0,3057 USD, và ZK giảm hơn 3,1% xuống 0,01863 USD theo dữ liệu CoinMarketCap tại thời điểm đề cập.
