Lỗ hổng của Balancer, sự tháo gỡ của XUSD gây hoảng loạn! Khoản vốn DeFi bốc hơi 231 triệu USD trong chớp mắt

Balancer V2 lỗ hổng trong tuần này bùng phát, các hacker đã đánh cắp 128 triệu USD từ nhiều chuỗi khác nhau. Đồng thời, Stream Finance sau khi một quản lý quỹ bên ngoài tiết lộ khoản lỗ 93 triệu USD đã đóng băng các khoản gửi và rút tiền, khiến stablecoin XUSD của họ mất peg với USD, giảm xuống mức thấp 30 cent mỗi USD trong phiên giao dịch. Tổng cộng, hai sự kiện này gây thiệt hại khoảng 231 triệu USD, nhưng chỉ thu hồi được 19 triệu USD.

StakeWise thu hồi 19 triệu USD – Phép màu DAO

(Nguồn: X)

Chiến lược của StakeWise cung cấp bằng chứng rõ ràng nhất cho thấy cấu trúc khẩn cấp của DeFi có thể chịu đựng áp lực lớn. DAO với đa chữ ký đã kích hoạt các hợp đồng thông minh để gọi lại, trả về 5.041 osETH và 13.495 osGNO cho giao thức kiểm soát. Nhóm phát triển cam kết phân chia thiệt hại theo tỷ lệ dựa trên số dư trước khi bị tấn công, biến thiệt hại thảm khốc thành thiệt hại một phần. Điều này không chỉ là lý thuyết: các khoản vốn đã được chuyển trên chuỗi, DAO cũng công khai kế hoạch này, và nhiều phương tiện truyền thông đã xác nhận dữ liệu liên quan.

Tốc độ và kết quả đều quan trọng. Việc đòi bồi thường trong tài chính truyền thống có thể mất nhiều tháng qua các vụ kiện, và thường chỉ thu hồi được một phần rất nhỏ. Trong khi đó, StakeWise tận dụng các công cụ nội bộ của giao thức, chỉ trong vài ngày đã hoàn tất quá trình thu hồi. Sự khác biệt về hiệu quả này làm nổi bật lợi thế của DeFi: khi cơ chế khẩn cấp được thiết kế phù hợp, phản ứng có thể nhanh hơn rất nhiều so với hệ thống truyền thống.

StakeWise đã có thể thu hồi khoảng 15% tổng thiệt hại của Balancer nhờ các cơ chế đã xây dựng trong nhiều năm của DeFi: đa chữ ký khẩn cấp, cơ chế thu hồi trong hợp đồng thông minh, và cấu trúc DAO có thể chuyển vốn trong vòng vài giờ. Ba cơ chế này đã làm cho việc phục hồi của StakeWise khả thi.

Ba cơ chế chính giúp StakeWise thu hồi thành công

Đa chữ ký khẩn cấp: có quyền hạn hạn chế, được định sẵn, tránh lạm quyền đồng thời đảm bảo phản ứng nhanh

Chức năng thu hồi trong hợp đồng thông minh: cho phép cơ chế quản trị hủy bỏ các giao dịch nhất định qua các hợp đồng dự phòng

Cấu trúc DAO nhanh chóng: có thể bỏ phiếu và thực thi trong một chu kỳ khối duy nhất, không cần quá trình quản trị kéo dài

Berachain đã bổ sung lựa chọn thứ tư, đó là can thiệp chuỗi dựa trên đồng thuận của các validators. Berachain vận hành các pool vốn kiểu Balancer trên DEX riêng của họ, các validators đã thực hiện thao tác dừng mạng phối hợp, thực hiện hard fork khẩn cấp để cô lập các hợp đồng dễ bị tấn công, và sau khi kiểm soát được lỗ hổng, đã khôi phục hoạt động. Các thao tác này bao gồm tạm dừng và rollback, chỉ khả thi khi chuỗi còn trẻ, tập trung đủ để phối hợp validators mà không gây kẹt quản trị.

XUSD sụp đổ phơi bày điểm yếu của CeDeFi

Ngay khi lỗ hổng Balancer bùng phát, Stream Finance đã đóng băng gửi rút sau khi một quản lý quỹ bên ngoài tiết lộ khoản lỗ 93 triệu USD, dẫn đến peg của stablecoin XUSD bị mất, giảm xuống mức thấp 30-50 cent mỗi USD. Sự sụp đổ này khác hoàn toàn về bản chất so với lỗ hổng hợp đồng thông minh, vì nó phơi bày điểm yếu cấu trúc của CeDeFi (tài chính lai trung tâm và phi trung tâm).

Sự sụp đổ của Stream bắt nguồn từ việc đặt cược vào cấu trúc hỗn hợp của CeDeFi, dựa trên quản lý bên ngoài để tối đa lợi nhuận, nhưng không có bảng điều khiển rủi ro hoặc giám sát tài sản minh bạch theo thời gian thực. Khoản 93 triệu USD đã biến mất ngoài chuỗi, vượt quá khả năng phối hợp của hợp đồng thông minh hay validators. Các biện pháp nào hiệu quả, biện pháp nào thất bại, đều rất quan trọng vì chúng quyết định các công cụ ứng phó khi xảy ra các lỗ hổng hàng trăm triệu đô la lần sau.

Cơ chế này khác với lỗ hổng hợp đồng thông minh vì không có hacker nào rút sạch vốn, không có sự phối hợp của validators để đảo ngược thiệt hại, cũng không có bỏ phiếu DAO để thu hồi vốn của bên thứ ba nắm giữ ngoài chuỗi. Đây chính là hình thức thỏa hiệp nguyên thủy của CeDeFi. Giao thức cam kết cung cấp tính linh hoạt của DeFi và minh bạch trên chuỗi, nhưng lợi nhuận lại dựa vào các quản lý quỹ truyền thống, có khung rủi ro vận hành hoàn toàn khác.

Khi các quản lý bên ngoài thất bại do lừa đảo, thao túng hoặc thua lỗ thị trường, stablecoin dựa trên đó sẽ mất peg, và giao thức không có biện pháp khẩn cấp nào để ứng phó. Người dùng phát hiện quá muộn, vì họ dựa vào “decentralized” stablecoin mà không biết rõ về thực thể quản lý, hoạt động ở các khu vực pháp lý mà họ không thể tiếp cận, và chưa từng xem xét các điều khoản liên quan.

Stream đã thuê công ty luật Perkins Coie để điều tra, nhưng thiệt hại đã lan rộng. Giao thức staking stablecoin XUSD đã mất peg mạnh, giá trong ngày giảm xuống còn 50-70% giá trị ban đầu. Mức độ mất peg này hiếm thấy trong lịch sử stablecoin, chỉ sau UST. XUSD vốn nên duy trì 1.26 USD, nay giảm còn 0.3-0.6 USD, khiến người nắm giữ mất hơn 70% giá trị.

Thiệt hại 231 triệu USD và tỷ lệ thu hồi 15% – Thực tế khắc nghiệt

Chỉ số cho thấy giới hạn của các cơ chế khẩn cấp. StakeWise đã thu hồi 19 triệu USD từ tổng thiệt hại 128 triệu USD của Balancer, khoảng 15%. Tại thời điểm viết bài, phần thưởng bug bounty của Balancer vẫn chưa có ai nhận. Berachain đã bảo vệ hệ sinh thái của mình, nhưng không thể hoàn tác các giao dịch trên Ethereum chính hoặc các chuỗi bị ảnh hưởng khác. Cộng thêm thiệt hại 93 triệu USD của Stream, tổng thiệt hại hai sự kiện là khoảng 231 triệu USD, nhưng chỉ thu hồi được khoảng 19 triệu USD, tỷ lệ thu hồi chỉ 8.2%.

Tất cả các biện pháp của DeFi đều đã phát huy tác dụng, nhưng người dùng vẫn mất hơn 200 triệu USD. Dù các công cụ đã có, nhưng vẫn chưa đủ để ngăn chặn các hacker tinh vi hơn các auditor, những người hiểu rõ giao thức hơn, có quyết tâm và kỹ năng cao hơn. Con số khắc nghiệt này cho thấy một thực tế: dù phòng thủ của DeFi ngày càng tiến bộ, kỹ thuật tấn công cũng đang phát triển song song, và tốc độ tiến bộ của các công cụ phòng thủ vẫn chưa theo kịp tốc độ mở rộng của các lỗ hổng.

Các cơ chế khẩn cấp như đa chữ ký và thu hồi đã nâng cao khả năng bồi thường cho nạn nhân, vì không còn mặc định không thể thu hồi giá trị nào nữa; tuy nhiên, điều này cũng tạo ra rủi ro đạo đức. Các giao thức có thể bỏ qua các cuộc kiểm tra an ninh, nghĩ rằng quản trị có thể bù đắp thiệt hại sau này. Các cơ quan quản lý sẽ để ý đến điều này: nếu DAO có thể hủy bỏ giao dịch và phong tỏa vốn, thì thực chất họ đang kiểm soát mạng như một người ủy thác.

Điều này sẽ gây áp lực chính sách, yêu cầu xây dựng bảng điều khiển dự trữ, bắt buộc tiết lộ rủi ro, và áp dụng các quy định chặt chẽ hơn đối với các thứ mang nhãn “decentralized”. Các nhà đầu tư sẽ phải nâng cao khả năng thẩm định. Các sản phẩm lợi nhuận dựa trên quản lý bên ngoài không minh bạch hoặc cấu trúc hỗn hợp CeDeFi giờ đây đối mặt với rủi ro mới: thảm họa mất peg không thể cứu vãn, gây thiệt hại không thể khắc phục.

Bối cảnh kinh tế vĩ mô còn làm tăng rủi ro. Theo thống kê của Chainalysis, đến giữa năm 2025, thiệt hại do trộm cắp tiền mã hóa sẽ vượt quá 2.17 tỷ USD, đã vượt tổng thiệt hại của năm 2024, và nếu xu hướng này tiếp tục, dự kiến thiệt hại sẽ đạt 4 tỷ USD. DeFi không phải là mục tiêu duy nhất, nhưng vẫn là lĩnh vực có tính thanh khoản cao nhất và dễ tổn thương nhất.

Hai viễn cảnh phòng thủ của DeFi và thử thách cuối cùng

Các biện pháp như Balancer-StakeWise-Stream không phải là sự kiện đơn lẻ, mà là bài kiểm tra áp lực cho hai viễn cảnh đối lập của DeFi trong tương lai. Một phía tin rằng, quản trị khẩn cấp, kiểm soát hợp đồng và phối hợp validators có thể xây dựng hàng rào phòng thủ đáng tin cậy, thu hẹp khoảng trống cho hacker và giới hạn thiệt hại. Tỷ lệ thu hồi 15% của StakeWise và hard fork nhanh của Berachain chứng minh tính khả thi của viễn cảnh này.

Phía còn lại chấp nhận cấu trúc hỗn hợp, đổi lấy minh bạch trên chuỗi để lấy lợi nhuận từ các rủi ro ngoài chuỗi. Sự sụp đổ của Stream là ví dụ điển hình cho thất bại của viễn cảnh này. Giao thức đã giao 93 triệu USD cho quản lý bên ngoài, nhưng thiếu các công cụ giám sát và tiết lộ minh bạch theo thời gian thực. Khi quản lý thua lỗ, giao thức không có cách ứng phó.

Hai viễn cảnh này cùng tồn tại, người dùng mỗi lần chọn giao thức đều phân bổ vốn giữa hai phía. Điều quan trọng không phải là liệu có xảy ra tấn công hay không, mà là liệu DeFi có thể bảo vệ chính mình đủ để tiếp tục là lựa chọn đáng tin cậy ngoài tài chính truyền thống hay không. Sự phục hồi của StakeWise chứng minh các công cụ liên quan tồn tại, còn sự sụp đổ của Stream cho thấy những công cụ này chưa thể bao quát hết mọi lỗ hổng.

Bảng điều khiển rủi ro, giám sát minh bạch tài sản thế chấp và chứng minh dự trữ trên chuỗi giờ đây không còn là thứ xa vời, mà là yêu cầu tối thiểu. Các giao thức không thể hoặc không muốn công khai các chỉ số này sẽ phải đối mặt với mất định giá, điều này là điều tất nhiên.