Ngày 27 tháng 7, chúng ta có một câu chuyện không mới nhưng đáng để nhai đi nhai lại: SOON, một L2 (EVM tương thích) khác, bị hack. Không phải smart contract bị khai thác, không phải bridge bị drain. Mà là chain infra, bên ngoài, nơi mọi người thường ngủ quên trên chiến thắng. Và tôi, một kẻ chuyên mổ xẻ code từ ICO năm 2017 đến ZK proofs, không ngạc nhiên chút nào.
Hôm 12 tháng 7, một kẻ nào đó đã lẻn vào hệ thống của SOON Team. Chi tiết: họ khai thác một 'dịch vụ cấu hình sai' (misconfigured service) và 'kiểm soát truy cập yếu kém' (insufficient access control). Kết quả? Họ không chạm vào user funds. BlockSec xác nhận điều này. Nhưng họ đã xâm nhập sâu vào môi trường nội bộ. Và team mất 14 ngày để khôi phục hoàn toàn. 14 ngày. Đó là một dấu hiệu đỏ.
Đây không phải lỗi ở Solana. L2 của họ vẫn chạy. Lỗi nằm ở 'operational security' - hàng rào bảo vệ bên ngoài. Kẻ tấn công không cần phải phá vỡ cryptography hay tìm bug trong consensus. Chỉ cần một cánh cửa không khóa. Và SOON, giống như 90% các dự án crypto non trẻ khác, đã để cửa mở.
Điểm mù chính: Sự khinh thường dành cho infra security. Tôi đã từng audit 12 dự án ICO năm 2017. Năm 2020, tôi mổ xẻ Uniswap v2. Và tôi biết rằng đằng sau mỗi dự án 'phi tập trung' là một đội ngũ vận hành thiếu kỷ luật. Họ dồn hết tâm trí vào smart contract, bỏ quên cả hệ thống bên ngoài: RPC nodes, backend của block explorer, admin panel. Và đó chính xác là nơi mà ai đó có thể đặt một cây kẹo.
Câu hỏi đặt ra: Tại sao team SOON không nhận ra điều này? Vì họ đã bỏ qua nguyên tắc 'least privilege' (tối thiểu quyền hạn). Kẻ tấn công từ một dịch vụ external, với đặc quyền thấp, đã có thể 'lateral movement' - di chuyển ngang - vào internal environment. Một kiến trúc mạng phẳng. Một sai lầm cổ điển. Và một bài học mà ứng với mỗi blockchain project mới, tôi lại phải nhai lại.
Và đây là điểm contrarian: User funds an toàn != Mọi thứ đều ổn. Nhiều người sẽ nói 'May mà money vẫn yên.' Và họ sẽ tiếp tục stake, trade trên SOON. Nhưng họ đã quên mất điều ghê gớm hơn: kẻ tấn công có thể đã xem API keys, đọc database, thậm chí cài backdoor. Lần tới, thay vì chỉ xâm nhập, họ có thể đánh cắp private key của bridge, hoặc phá hoại sequencer. Một tuần downtime chỉ là màn dạo đầu.
Tôi nhìn vào sự kiện này và thấy một pattern lặp lại. 95% người yield farming không hiểu impermanent loss. Và 95% dự án L2 không hiểu operational security. Họ nghĩ rằng một bản audit smart contract đã là đủ. Sai. Bản audit đó chỉ phủ một mặt của con xúc xắc. Mặt còn lại, còn 5 mặt nữa, là về con người, về quy trình, về hệ thống.
Impermanent loss = bẫy của kẻ lười tính. Và SOON mới chính là kẻ lười tính trong câu chuyện này. Họ đã bỏ qua bài học cơ bản nhất: bất kỳ một hệ thống nào có kết nối internet đều có thể bị tấn công, đặc biệt là khi bạn quản lý nó một cách cẩu thả.
Vậy, bài học dành cho bạn là gì?
Đừng ngủ quên trên chiến thắng. Đừng mù quáng tin vào mọi lời hứa 'safe assets'. Hãy xem họ xử lý khủng hoảng như thế nào. Họ có publish post-mortem chi tiết không? Họ có thay đổi kiến trúc mạng không? Hay họ chỉ im lặng, hy vọng cộng đồng quên đi? Hành động của họ trong 30 ngày tới sẽ nói lên tất cả. Và nếu họ không nói gì, hãy coi chừng.
Tôi để lại cho bạn câu hỏi này: Bạn đã bao giờ kiểm tra cấu hình SSH của validator chưa? Bạn có biết RPC node của mình đang phục vụ bao nhiêu request từ IP lạ không? Nếu chưa, có lẽ bạn cũng đang để cửa mở.