3 giờ. Đó là khoảng thời gian từ lúc kẻ tấn công chiếm được private key của deployer đến khi Solv Protocol phát hiện ra. Trong 3 giờ đó, hắn nâng cấp hợp đồng mint proxy trên BSC, đúc ra hàng triệu BTC+ ảo, và suýt đánh sập một giao thức DeFi Bitcoin đang lên. Từ dữ liệu on-chain, tôi lần theo vết chân của vụ trộm private key – một câu chuyện đã cũ nhưng vẫn khiến tôi rùng mình.
Solv Protocol là giao thức quản lý lợi suất Bitcoin trên BSC. Sản phẩm BTC+ cho phép người dùng stake BTC để nhận lãi, đang dần có chỗ đứng trong hệ sinh thái Bitcoin DeFi. Vào ngày 13 tháng 7 năm 2024, kẻ tấn công lợi dụng private key của deployer để gọi hàm upgradeTo trên hợp đồng mint proxy, thay thế bằng mã độc, sau đó đúc ra một lượng lớn BTC+ không có tài sản đảm bảo. May mắn, đội ngũ Solv phát hiện trong vòng 3 giờ, lập tức cô lập và hủy toàn bộ token bất hợp pháp. Họ tuyên bố không mất tài sản nền tảng, nhưng niềm tin thì đã rạn nứt.
Phần Core – nơi dữ liệu lên tiếng. Tôi lọc giao dịch của địa chỉ deployer trên BSC bằng script Python quen thuộc. Một transaction nâng cấp hợp đồng xuất hiện với nonce thấp, không có timelock, không chờ multisig. Private key duy nhất đó từng ký giao dịch thường vài ngày trước; kẻ tấn công có thể đã lấy được key từ môi trường local, qua clipboard hoặc browser extension độc hại. Hợp đồng mint proxy ngay lập tức sinh ra dòng log Transfer với value khổng lồ – tôi nhìn vào dashboard Dune tự build, thấy lượng BTC+ bất thường bay vào ví attacker. Một private key, không multisig, không timelock – tất cả chỉ là một điểm hỏng. Từ dòng log ICO 2017, tôi từng nhặt ra bóng ma bot. Giờ đây, tôi lại thấy một dạng bóng ma khác: private key bị lộ, và smart contract trở thành con rối.
Contrarian: Nhiều người vội vàng đổ lỗi cho code, cho smart contract. Sai. Code không hề có lỗi. Lỗi nằm hoàn toàn ở quy trình vận hành – con người. Chính sự an toàn tuyệt đối về code đã khiến đội ngũ chủ quan, không thiết lập lớp bảo vệ nào cho private key. Nếu họ dùng multisig 2/3 với timelock 24 giờ, vụ tấn công đã vô hiệu. Nhưng đó cũng chưa phải là thánh dược – nếu ba trong năm key đều bị lộ thì sao? Vấn đề cốt lõi là quản lý key, không phải số lượng. Một private key duy nhất có thể hủy diệt cả giao thức – tôi đã thấy điều đó ở FTX (dù không phải private key trực tiếp), và giờ lại thấy ở Solv. Điều mỉa mai: cũng nhờ private key duy nhất mà đội ngũ có thể nhanh chóng hủy token và đóng băng – nhưng đó là dao hai lưỡi.
Takeaway: Tuần tới, hãy theo dõi Solv Protocol có thực sự khôi phục BTC+ trong hai tuần như cam kết không. Nếu bản nâng cấp mới có multisig và timelock, đó là tín hiệu họ đã học được bài học. Nếu vẫn giữ nguyên kiến trúc tập trung, hãy rút tiền ngay. Kẻ tấn công không cần phá mã, chỉ cần nhặt được chìa khóa. Và người giữ chìa khóa – đừng để nó nằm trên desktop.
