Balancer bị hack hơn 100 triệu USD: Kiểm toán “dày” vẫn thủng – bài học nào cho DeFi?

Balancer – một trong những DEX/AMM lớn – vừa xác nhận vụ tấn công khiến hơn 100 triệu USD tài sản số bị đánh cắp. Theo thông báo ban đầu, sự cố chỉ ảnh hưởng các Composable Stable Pool của Balancer V2, không liên quan đến Balancer V3 hay các pool khác.

Chuyện gì đã xảy ra?

Sáng thứ Hai, dòng tài sản gồm OSETH, WETH, wstETH bị chuyển khỏi các pool bị ảnh hưởng sang một ví mới tạo. Nhiều phân tích kỹ thuật nghiêng về khả năng lỗi kiểm soát truy cập trong smart contract, cho phép kẻ tấn công thực hiện lệnh rút trái phép. Hiện đội ngũ kỹ thuật và các đơn vị điều tra on-chain đang truy vết luồng tiền.

“Kiểm toán rồi” có còn là lá chắn?

Balancer cho biết hệ thống đã trải qua nhiều vòng kiểm toán và chương trình bug bounty. Danh sách công khai cho thấy các hợp đồng V2 từng được các hãng bảo mật lớn kiểm tra nhiều lần. Tuy nhiên, thực tế lần này cho thấy kiểm toán không đồng nghĩa an toàn tuyệt đối. Với DeFi, bề mặt tấn công rộng, logic phức tạp và tương tác chéo giữa các module có thể tạo ra “góc chết” mà một báo cáo đơn lẻ khó bao quát hết.

Từ góc nhìn của mình, đây là ba điều các bạn nên rút ra:

1. Kiểm toán là cần, nhưng không đủ. Hãy xem cả phạm vi kiểm toán, thời điểm, commit đã thay đổi gì sau kiểm toán, và liệu có giám sát runtime, circuit breaker hay không.

2. Quản trị rủi ro cấp giao thức quan trọng không kém code: giới hạn TVL theo pool, cơ chế pause từng phần, phân quyền rõ ràng, và quy trình ứng cứu khẩn cấp.

3. Đa lớp bảo vệ người dùng: bảo hiểm on-chain, proof-of-reserves của pool, và cảnh báo rủi ro theo thời gian thực.

Phản hồi từ Balancer: treo thưởng 20%

Đội ngũ Balancer đã gửi thông điệp on-chain đề nghị “tiền thưởng mũ trắng” đến 20% nếu hacker hoàn trả toàn bộ tài sản trong 48 giờ. Đồng thời, họ cho biết đang phối hợp với các đơn vị điều tra độc lập và cơ quan thực thi pháp luật. Tại thời điểm mình viết, dự án chưa công bố thêm chi tiết về lỗ hổng gốc hay việc thu hồi tài sản.

Người dùng nên làm gì ngay bây giờ?

Nếu các bạn từng cung cấp thanh khoản vào Composable Stable Pool của V2, hãy:

• Ngắt kết nối và thu hồi (revoke) quyền cấp phép với hợp đồng liên quan.

• Rút thanh khoản khỏi các pool bị ảnh hưởng nếu vẫn còn TVL.

• Theo dõi địa chỉ hợp đồng và thông báo chính thức để cập nhật hướng dẫn bồi hoàn, snapshot hoặc kế hoạch khắc phục.

• Kiểm tra lại danh mục ví bằng công cụ revoke và portfolio tracker để phát hiện các approval “treo” ở những dApp khác.

Bài học hệ thống cho DeFi

• Defense-in-depth: ngoài kiểm toán, cần fuzzing liên tục, formal verification cho module trọng yếu, canary deployment, và circuit breaker theo ngưỡng bất thường.

• Giảm độ phức tạp inter-pool: càng nhiều tương tác chéo, rủi ro lan truyền càng lớn.

• Quy trình IR (Incident Response): runbook rõ ràng, kênh thông tin duy nhất, tiêu chí pause/partial pause và cơ chế bounty/mediation định sẵn.

• Minh bạch sau sự cố: post-mortem đầy đủ, timeline, root cause, bản vá, và cam kết nâng cấp quy trình.

Kết luận

DeFi là cuộc chơi của xác suất và kỷ luật. “Đã kiểm toán” giúp chúng ta yên tâm phần nào, nhưng không thể thay thế quản trị rủi ro chủ động. Với những ai cung cấp thanh khoản, hãy coi quy trình kiểm tra approval, giới hạn TVL cá nhân và theo dõi cảnh báo là thói quen định kỳ – giống như thay khóa cửa định kỳ trong thế giới thực.