Sự cố Switchboard phơi bày rủi ro phụ thuộc chung trong DeFi

Switchboard đã tạm dừng các dịch vụ oracle dựa trên Move trên Aptos, Sui, IOTA và Movement sau khi xuất hiện báo cáo về khả năng hệ thống bị xâm nhập. Đây là biện pháp khoanh vùng rủi ro: ngừng cung cấp các cập nhật giá có thể không còn đáng tin cậy giúp hạn chế việc những giao dịch DeFi tiếp tục dựa vào dữ liệu bị thao túng hoặc đã lỗi thời. 2433

Mức độ thiệt hại tài chính hiện vẫn chưa được xác định đầy đủ. Full Sail xác nhận các vault trên Sui đã bị thất thoát tiền sau một vụ nghi ngờ Switchboard oracle bị xâm phạm, đồng thời tạm dừng hoạt động nạp và rút cho đến khi kiểm chứng được tính toàn vẹn của dữ liệu oracle. Thông báo của giao thức không nêu số tiền thiệt hại. 23

Trên IOTA, nhiều báo cáo cho biết một vụ thao túng giá oracle đã đẩy giá được ghi nhận của một token lên 10 triệu USD. Sự cố này được liên hệ với việc khoảng 4,94 triệu VUSD được đúc thông qua Virtue và các đợt thanh lý ảnh hưởng đến 45 người dùng. Virtue sau đó cũng được cho là đã ngừng hoạt động. Tuy nhiên, các con số trên hiện vẫn là ước tính được báo cáo, chưa phải tổng thiệt hại cuối cùng được xác nhận độc lập. 182425

Switchboard đã tạm dừng những gì?

Các triển khai bị ảnh hưởng là những dịch vụ Move-based của Switchboard trên bốn hệ sinh thái:

• Aptos
• Sui
• IOTA
• Movement

Switchboard cho biết các bên đóng góp đang phối hợp với đội ngũ của những hệ sinh thái liên quan và các tổ chức bảo mật sau khi nhận được báo cáo về khả năng bị xâm nhập. Dự án cũng nói chưa có báo cáo tương tự liên quan đến triển khai trên Solana, nhưng vẫn khuyến nghị người dùng tạm thời chuyển sang các giải pháp oracle thay thế để thận trọng. 3334

Vì sao sự cố này đặt ra câu hỏi về kiến trúc dùng chung?

Việc đình chỉ đồng thời trên bốn mạng đáng chú ý vì nó gợi ý về một miền lỗi chung. Rủi ro có thể nằm ở phần triển khai Move dùng chung của Switchboard, quy trình triển khai, cấu hình hoặc an ninh vận hành, thay vì xuất phát riêng lẻ từ Aptos, Sui, IOTA hay Movement.

Đây là điểm cần phân biệt rõ. Các thông tin hiện có không chứng minh ngôn ngữ Move hoặc một trong bốn blockchain nền tảng đã bị xâm phạm. Nguyên nhân chính xác của vụ việc cũng chưa được xác nhận. Một số nguồn đề cập khả năng khóa riêng tư bị lộ, nhưng bằng chứng hiện có chưa đủ để kết luận gốc rễ là sự cố khóa, điểm yếu trong cơ chế xác thực, lỗi cấu hình hay một vấn đề vận hành khác. 1825

Oracle sai giá có thể gây rối loạn DeFi như thế nào?

Oracle cung cấp dữ liệu giá để các hợp đồng thông minh quyết định liệu một giao dịch có an toàn hay không. Nếu ứng dụng tiếp nhận một mức giá bị thao túng, kẻ tấn công có thể vay dựa trên tài sản thế chấp bị thổi phồng, đúc tài sản với định giá sai, kích hoạt thanh lý hoặc thực hiện các hành động khác phụ thuộc vào giá.

Khi oracle bị dừng, vấn đề ngược lại xuất hiện: ứng dụng không còn một mức giá hiện tại đáng tin cậy để sử dụng. Vì vậy, các giao thức có thể phải tạm dừng:

• định giá tài sản thế chấp và hoạt động vay;
• thanh lý;
• mở vị thế mới;
• giao dịch hoán đổi và thanh toán phái sinh;
• nạp, rút tiền và hạch toán vault; cùng
• các giao dịch khác cần dữ liệu giá mới.

Một giao thức thận trọng thường chọn cơ chế “đóng khi không an toàn” thay vì tiếp tục sử dụng nguồn dữ liệu cũ hoặc đáng ngờ. Cách này có thể hạn chế thiệt hại phát sinh thêm, nhưng đồng thời cũng khiến tiền của người dùng bị kẹt và hoạt động thị trường bị gián đoạn. Quyết định tạm dừng nạp và rút của Full Sail cho thấy rõ sự đánh đổi đó. 23

Nguồn oracle dự phòng đã giúp ích ra sao?

Những giao thức sử dụng các nguồn dự phòng độc lập từ các nhà cung cấp như Pyth hoặc Chainlink có vị thế tốt hơn để tiếp tục vận hành hoặc khôi phục dịch vụ nhanh hơn. Nhiều nguồn dữ liệu cho phép ứng dụng đối chiếu giá, chuyển sang nhà cung cấp khác hoặc tránh biến một oracle duy nhất thành điểm lỗi duy nhất.

Dự phòng không phải là sự bảo đảm an ninh tuyệt đối. Nguồn thay thế vẫn cần được tích hợp và cấu hình chính xác, đồng thời phải có cơ chế quản trị phù hợp. Dù vậy, việc sử dụng các nguồn dữ liệu độc lập có thể giảm mức độ thiệt hại do một nhà cung cấp bị gián đoạn hoặc một triển khai bị xâm phạm.

Vì sao Solana được xem xét riêng?

Tài liệu của Switchboard mô tả triển khai Solana/SVM là một hệ thống tách biệt, sử dụng quy trình cập nhật và xác thực riêng, trong đó có xác thực chữ ký Ed25519. 1 Sự phân tách về kiến trúc này phần nào giải thích vì sao các báo cáo ban đầu chỉ tập trung vào những triển khai dựa trên Move, thay vì mặc nhiên mở rộng sang Solana.

Tuy nhiên, “chưa có báo cáo tương tự” không đồng nghĩa với việc Solana đã được chứng minh là miễn nhiễm. Việc Switchboard khuyến nghị người dùng tạm thời chuyển sang giải pháp khác phản ánh sự bất định trong lúc cuộc điều tra vẫn đang diễn ra, kể cả đối với những người dùng chưa ghi nhận sự cố tương ứng trên Solana. 3334

Những điều vẫn chưa được làm rõ

Một loạt câu hỏi quan trọng chưa có lời giải trong các thông tin hiện có:

• Con đường xâm nhập hoặc khai thác chính xác là gì?
• Khóa riêng tư có thực sự bị xâm phạm hay sự cố bắt nguồn từ mã nguồn, cấu hình hoặc quy trình vận hành?
• Có bao nhiêu ứng dụng, tài sản, vị thế người dùng và blockchain bị ảnh hưởng ngoài các trường hợp đã được báo cáo?
• Tổng giá trị thiệt hại là bao nhiêu?
• Các số liệu về lượng VUSD được đúc và số người bị thanh lý có được xác thực đầy đủ trên chuỗi hay không?
• Người dùng bị ảnh hưởng có được bồi hoàn không, và khi nào các nguồn cấp dữ liệu Move có thể hoạt động trở lại an toàn?

Những bằng chứng hiện có đủ cơ sở để mô tả đây là một sự cố an ninh oracle nghiêm trọng, với thiệt hại đã được Full Sail xác nhận và vụ khai thác liên quan đến IOTA được nhiều nguồn báo cáo. Tuy nhiên, chưa thể đưa ra con số thiệt hại cuối cùng hoặc kết luận rằng vụ việc chứng minh một xu hướng gia tăng rộng hơn của các vụ khai thác DeFi. Những nhận định đó cần chờ cuộc điều tra hoàn tất và một bộ dữ liệu đáng tin cậy trên toàn ngành.