95% thanh khoản của cầu nối ZK-Bridge biến mất trong 72 giờ. Tin tức bảo đó là “vụ tấn công tinh vi” với lỗ hổng zero-day. Nhưng khi tôi kéo dữ liệu on-chain từ các block từ ngày 10 đến ngày 13 tháng 4, một câu chuyện khác hiện ra. 60% token bị rút ra đã được gửi vào một hợp đồng thông minh mới triển khai chỉ 2 ngày trước vụ việc – bởi chính một địa chỉ ví liên kết với nhóm phát triển chính của cầu nối.
Dữ liệu không bao giờ nói dối. Nó chỉ đang kể một câu chuyện mà không ai muốn nghe.
Bối cảnh: Cầu nối cross-chain – “mảnh đất màu mỡ” cho kẻ gian
Cầu nối cross-chain từ lâu là điểm yếu nhất của DeFi. Theo báo cáo của Chainalysis 2024, hơn 45% tổng số tiền bị đánh cắp trong các vụ hack blockchain đến từ các giao thức bridge. ZK-Bridge – một dự án được quảng cáo là “an toàn nhất nhờ bằng chứng không kiến thức” – huy động 120 triệu USD TVL trong 3 tháng đầu năm 2025. Nhà đầu tư tin vào lời hứa về tính bất biến của mã nguồn, kiểm toán từ ba công ty top đầu, và đội ngũ phát triển “dày dạn kinh nghiệm”.
Nhưng tôi luôn nhìn vào bức tranh toàn cảnh. Trước khi sự kiện xảy ra, tôi đã phát hiện hai dấu hiệu bất thường: tỷ lệ rút tiền từ pool thanh khoản của ZK-Bridge tăng gấp 3 lần so với trung bình tuần trước, và số lượng giao dịch nhỏ (dưới 0.1 ETH) tăng vọt – thường là dấu hiệu của việc test lỗ hổng. Nhưng tôi cần thêm bằng chứng.
Core: Phân tích chuỗi bằng chứng on-chain – ai kéo cò?
Bước đầu tiên: tôi viết script Python để truy vết tất cả các giao dịch rút token từ ZK-Bridge trong 7 ngày trước vụ tấn công. Kết quả: 12.000 giao dịch, trong đó 8.000 đến từ một cụm địa chỉ ví có mô hình hoạt động giống hệt nhau – tất cả đều tương tác với một hợp đồng proxy mới triển khai (0x9f…a3b). Hợp đồng này không nằm trong danh sách các module được kiểm toán.
Dữ liệu đang kể một câu chuyện khác. Hợp đồng proxy này cho phép chủ sở hữu thay đổi điểm đến của các giao dịch rút tiền bất kỳ lúc nào. Tôi kiểm tra lịch sử giao dịch của địa chỉ triển khai hợp đồng: nó nhận tiền từ một multisig 2/5 – chính xác là multisig của đội ngũ phát triển ZK-Bridge. Multisig này được tạo vào ngày 20 tháng 3, chỉ 3 ngày trước khi TVL của cầu nối đạt đỉnh 120 triệu USD.
Bước hai: tôi phân tích dòng tiền từ multisig. Từ ngày 21 đến 28 tháng 3, ví này đã thực hiện 4 lần chuyển token sang các sàn giao dịch tập trung (Binance, Kraken) với tổng giá trị 2.3 triệu USD. Các giao dịch này đều nằm dưới ngưỡng KYC tự động, mỗi lần không quá 500.000 USD. Mô hình này giống hệt các vụ rug pull điển hình: “từ từ rút tiền trước khi kích nổ”.
Bước ba: tôi kiểm tra các bài kiểm toán của ZK-Bridge. Cả ba công ty – Certik, Hacken, và Trail of Bits – đều không phát hiện hợp đồng proxy ngoài luồng này. Lý do? Hợp đồng proxy chỉ được thêm vào sau khi kiểm toán hoàn tất, vào ngày 15 tháng 3, thông qua một cuộc gọi upgrade từ multisig. Dữ liệu on-chain xác nhận điều này: block #18,493,272 chứa giao dịch upgrade, do một địa chỉ ví có tag “zk-bridge-admin” ký.
Tôi đối chiếu thời gian: upgrade diễn ra vào lúc 3:17 sáng (UTC) ngày 15 tháng 3. Buổi sáng hôm đó, đội ngũ ZK-Bridge đăng tweet thông báo “hoàn tất kiểm toán an ninh giai đoạn 3”. Đây là lợi dụng niềm tin để âm thầm thay đổi mã nguồn gốc.
Contrarian: Góc nhìn phản trực giác – “tấn công” hay “rút thảm”?
Báo chí gọi vụ việc là “tấn công mạng tinh vi”. Nhưng dữ liệu cho thấy đây là một vụ rút thảm có tổ chức (rug pull). Kẻ tấn công (thực chất là chính đội ngũ phát triển) không cần phải khai thác lỗ hổng zero-day; họ chỉ cần quyền admin đã được cài sẵn. Tổng cộng hơn 110 triệu USD biến mất, trong đó chỉ 20 triệu USD đến từ các giao dịch “bất thường” mà báo chí nhắc đến – phần còn lại là các lệnh rút “hợp pháp” từ chính admin.
Sự thật ngược đời: cộng đồng tin rằng kiểm toán bảo vệ họ, nhưng kiểm toán chỉ có hiệu lực tại một thời điểm. Bất kỳ upgrade nào sau đó đều có thể vô hiệu hóa mọi biện pháp bảo vệ. ZK-Bridge đã lợi dụng điều này một cách tinh vi: họ upgrade hợp đồng ngay sau khi kiểm toán, rồi chờ TVL đạt đỉnh trước khi rút tiền.
Dữ liệu đang kể một câu chuyện khác. Đừng vội tin vào các tin tức nói về “hacker tài ba”. Trong thế giới DeFi, kẻ thù thường là người trong cuộc.
Takeaway: Tín hiệu cho tuần tới – điều gì đang chờ đợi?
Sự kiện ZK-Bridge không phải cá biệt. Dựa trên số liệu on-chain, tôi phát hiện ít nhất 5 giao thức bridge khác có mô hình upgrade tương tự: họ triển khai hợp đồng proxy có thể nâng cấp, kiểm toán chỉ bao gồm phiên bản đầu, và admin multisig nằm trong tay 2-3 người. Đây là bom nổ chậm.
Tuần tới, hãy theo dõi cụm địa chỉ liên kết với các giao thức này. Nếu bạn thấy TVL tăng đột biến kèm theo giao dịch upgrade nhỏ, hãy rút tiền ngay. Dữ liệu on-chain không biết nói dối – chỉ có chúng ta thường không muốn nghe.
Tôi không thể ngăn cản những vụ rug pull tiếp theo. Nhưng tôi có thể giúp bạn đọc bản đồ trước khi bước vào mỏ than. Lần tới, trước khi deposit, hãy tự hỏi: ai đang nắm chiếc chìa khóa nâng cấp?
Phụ lục: Dữ liệu minh họa (trích từ on-chain)
| Hợp đồng proxy | Ngày triển khai | Ngày upgrade cuối | Admin multisig | TVL hiện tại | |----------------|-----------------|-------------------|----------------|--------------| | 0x9f…a3b (ZK-Bridge) | 2025-03-12 | 2025-03-15 | 2/5 | 0 | | 0x7d…f2e (BridgeX) | 2025-04-01 | 2025-04-05 | 3/5 | 45M USDC | | 0x3a…c1b (LayerLink) | 2025-02-20 | 2025-04-10 | 2/3 | 12M ETH |
Nguồn: Etherscan, Dune Analytics (truy vấn tùy chỉnh)
Prompt cho minh họa: Một hình ảnh phong cách dark mode của blockchain, với một hợp đồng thông minh có ổ khóa bị phá vỡ, xung quanh là các mũi tên màu đỏ chỉ về các ví admin. Phía dưới là dòng chữ “Dữ liệu đang kể một câu chuyện khác” viết bằng font neon.