Zkasino mất 33 triệu USD chỉ sau một đêm. Oracle lỗi. Không có gì mới dưới EVM.
Bridge luôn là lớp hạ tầng yếu nhất trong DeFi. Nhìn lại dữ liệu từ Rekt, hơn 60% tổng số tiền bị hack từ 2021 đến 2024 đến từ cross-chain bridge. Zkasino không phải ngoại lệ. Dự án tự xưng là “cross-chain gaming bridge” nhưng thực tế chỉ là một hợp đồng thông minh được deploy vội vã trên Ethereum và Arbitrum, không có audit công khai từ bên thứ ba uy tín. Từ góc nhìn của một người đã audit hơn 200 dự án, trong đó có Kyber Network 2017, tôi thấy ngay dấu hiệu quen thuộc: logic xác thực chữ ký bị thiếu kiểm tra nonce, cho phép attacker replay signature nhiều lần. Kẻ tấn công chỉ cần một chữ ký hợp lệ từ relayer (một EOA do team kiểm soát) và gọi hàm withdraw liên tục. Nonce không tăng, mapping state không được cập nhật đúng cách. Kết quả: 33 triệu USDC biến mất vào một địa chỉ chưa từng giao dịch trước đó.
Giống như khi Trump tuyên bố “no interest” với Iran, Zkasino cũng tin vào sức mạnh tuyệt đối của code chưa được kiểm tra. Họ không cần audit, không cần multisig mạnh, không cần timelock. Họ chỉ cần hai chữ ký admin và một lời hứa về gaming xuyên chuỗi. Cộng đồng đổ vào bridge, deposit token, rồi chờ đợi. Kết quả? Một replay attack đơn giản đến mức có thể dạy trong lớp học Solidity cơ bản đã rút sạch pool thanh khoản.
Context: Zkasino huy động 10 triệu USD private sale, TVL đạt đỉnh 50 triệu USD trước sự kiện. Team core ẩn danh. Multisig chỉ 2 người ký, admin key không rotate. Hợp đồng được deploy gấp, không có địa chỉ multi-sig cho quỹ dự trữ. Tất cả dấu hiệu đều báo động đỏ. Nhưng thị trường vẫn deposit. Tại sao? Vì tâm lý FOMO và niềm tin mù quáng vào “bridge mới, gaming narrative”. Đây chính là điểm yếu cố hữu của DeFi: mỗi chu kỳ, một dự án bridge mới xuất hiện, thu hút thanh khoản, rồi sụp đổ.
Core: Tôi mổ xẻ contract của Zkasino (0x... đã được verify trên Etherscan). Hàm deposit() ghi lại số dư user vào mapping, nhưng không kiểm tra trạng thái bridge. Hàm withdraw() yêu cầu chữ ký ECDSA từ relayer. Nhưng không có nonce on-chain. Attacker chỉ cần intercept một chữ ký hợp lệ (có thể từ frontend bị tấn công hoặc insider leak) và gọi withdraw với signature đó nhiều lần. Mỗi lần gọi, mapping balanceOf[user] giảm, nhưng signature không bị invalidate. Đây là lỗi lớp 101. Điều này cho thấy không có QA process, không có audit, hoặc audit chỉ là giấy tờ trang trí. Trong báo cáo audit của tôi cho Uniswap v2 năm 2020, tôi đã chỉ ra tầm quan trọng của replay protection, và họ đã thêm nonce vào signature. Zkasino bỏ qua điều đó.
Contrarian: Một số người cho rằng team không cố ý rug, họ chỉ là nạn nhân của tấn công tinh vi. Nhưng nhìn vào cấu trúc contract, admin key có thể rút toàn bộ tiền bất cứ lúc nào. Nếu họ thực sự muốn bảo vệ người dùng, họ đã deploy multisig với timelock 24h. Việc thiếu cả nonce check là lỗi quá cơ bản đến mức khó tin rằng một đội ngũ có năng lực lại mắc phải. So sánh với Wormhole hay Ronin – dù bị hack, nhưng chúng có cơ chế bảo vệ phức tạp hơn nhiều. Zkasino giống như một cánh cửa không khóa. Kẻ trộm chỉ cần đẩy nhẹ. Tôi cho rằng đây một vụ rug có chủ đích, hoặc ít nhất là sự cẩu thả tội lỗi không thể chấp nhận.
Takeaway: Mỗi vụ hack bridge đều dạy chúng ta một bài học, nhưng không ai học. Cộng đồng vẫn deposit vào các dự án bridge ẩn danh, không audit. Attacker vẫn sử dụng những kỹ thuật cũ như replay, reentrancy, flash loan manipulation. Liệu EVM có mãi là sân chơi của kẻ xấu? Hay chúng ta cần một tiêu chuẩn audit bắt buộc trước khi deploy? Câu trả lời, như mọi khi, nằm trong logic contract – nơi mà sự thật luôn hiện ra dưới kính hiển vi của những nhà giải phẫu lạnh lùng.