Infrastructure

Cầu Nối Stablecoin Thực Sự Thất Bại Ra Sao (Và Những Gì Năm 2025 Đã Sửa Được)

By Anurag Verma•April 22, 2026

Khi người ta nói về các vụ hack cầu nối, hình dung thường gặp là một khai thác khéo léo trên hợp đồng thông minh. Ronin, Wormhole, Nomad, Multichain. Hơn 2,5 tỷ đô la bị rút sạch qua các sự cố lớn. Phản ứng của ngành khá quen thuộc: thêm kiểm toán, thêm kiểm chứng hình thức, thêm chương trình thưởng lỗi.

Cách nhìn đó đã bỏ qua câu chuyện thật sự. Hầu hết các cầu nối stablecoin không thất bại vì một lỗi Solidity. Chúng thất bại vì bản thân kiến trúc có vấn đề. Và suốt năm 2025, kiến trúc đó đã được thay thế.

Tội nguyên thủy của mô hình khóa và đúc

Mô hình cầu nối thống trị trong nhiều năm rất đơn giản: khóa USDC trên chuỗi A, đúc một phiên bản bọc (USDC.e, axlUSDC, whUSDC, tùy tiền tố bạn chọn) trên chuỗi B. Token bọc là một IOU được đảm bảo bởi tài sản thế chấp đã khóa.

Điều này tạo ra bốn điểm thất bại, và mỗi vụ hack lớn đều trúng ít nhất một trong số đó:

1. Vấn đề bẫy mật ong. Mỗi đô la stablecoin bọc đang lưu hành đồng nghĩa với một đô la nằm trong hợp đồng cầu nối. Một cầu nối có TVL 500 triệu đô là một khoản tiền thưởng 500 triệu đô. Bảo mật tăng tuyến tính theo TVL, nhưng động cơ tấn công cũng tăng theo cùng tỷ lệ đó. Bạn đang chạy đua với một kẻ tấn công có ngân sách không giới hạn để khai thác lỗ hổng zero-day.

2. Xâm phạm bộ validator. Hầu hết các cầu nối ủy quyền quyền đúc cho một multisig hoặc một bộ validator proof-of-authority. Ronin có chín validator, năm trong số đó bị tấn công phishing. Harmony chỉ có hai khóa. Mật mã học hoạt động tốt. Lớp con người thì không.

3. Lỗ hổng xác minh thông điệp. Khai thác của Nomad không hề tinh vi. Một lỗi khởi tạo khiến mọi thông điệp đều trông như đã được phê duyệt sẵn. Bất kỳ ai có kỹ năng sao chép dán đều có thể rút cạn nó. Về mặt kỹ thuật, cầu nối hoạt động đúng như mã đã lập trình.

4. Thanh khoản phân mảnh và độ trễ oracle. Ngay cả khi không có gì bị tấn công, stablecoin được bọc vẫn lệch khỏi mức neo trong thời điểm căng thẳng. USDC.e trên Avalanche giao dịch ở mức $0,87 trong đợt mất neo tháng 3 năm 2023 vì hoạt động kinh doanh chênh lệch giá bị chính cây cầu chặn lại. Cây cầu tự trở thành oracle của chính nó, và oracle đó sụp đổ đúng vào lúc bạn cần nó nhất.

Tài sản được bọc thực chất là gì

Đây là phần mà ngành công nghiệp mất quá lâu để thừa nhận: một stablecoin được bọc không phải là cùng một tài sản. Đó là một công cụ tín dụng do cầu nối phát hành, được tính theo mệnh giá của stablecoin gốc. USDC trên Ethereum là khoản nợ của Circle. USDC.e trên Avalanche là khoản nợ của cầu nối Avalanche được đảm bảo bằng khoản nợ của Circle.

Bạn đã cộng thêm rủi ro đối tác, rủi ro hợp đồng thông minh và rủi ro trình xác thực lên trên một tài sản mà toàn bộ giá trị của nó nằm ở chỗ không có rủi ro. Đối với cơ sở hạ tầng thanh toán, điều đó là không thể chấp nhận được.

Làn sóng chuyển dịch năm 2025: phát hành gốc ở khắp nơi

Giải pháp không phải là những cây cầu tốt hơn. Mà là loại bỏ hoàn toàn nhu cầu bắc cầu stablecoin.

CCTP (Cross-Chain Transfer Protocol) của Circle đã chuyển từ một tính năng thú vị thành lựa chọn mặc định vào năm 2024, và đến giữa năm 2025 đã trở thành con đường chủ đạo để di chuyển USDC. Cơ chế hoạt động là đốt và đúc: USDC trên chuỗi A bị đốt, Circle xác nhận việc đốt đó, USDC trên chuỗi B được đúc gốc bởi Circle. Không có token được bọc. Không có pool tài sản thế chấp bị khóa. Không có điểm tích lũy tài sản dễ bị tấn công.

Tether tiếp bước với mô hình tương tự cho USDT thông qua các triển khai gốc trên hơn 14 chuỗi. PYUSD của PayPal ra mắt gốc trên Solana thay vì bắc cầu từ Ethereum. Paxos cũng làm tương tự với USDG trên các nền tảng triển khai của mình.

Xu hướng này nhất quán: nhà phát hành kiểm soát việc đúc và đốt trên tất cả các chuỗi, và việc di chuyển giữa các chuỗi được thanh toán thông qua lớp xác nhận của nhà phát hành thay vì một cầu nối bên thứ ba.

Điều này thực sự thay đổi gì

Bề mặt tấn công thu hẹp lại. Không còn hợp đồng trị giá hàng trăm triệu đô la nằm đâu đó chờ bị rút cạn. Kẻ tấn công dù có xâm phạm được CCTP vẫn cần chữ ký xác thực của Circle, thứ nằm trong hạ tầng của Circle chứ không phải trên chuỗi.

Tính ổn định của tỷ giá được duy trì khi thị trường chịu áp lực. USDC gốc trên mọi chuỗi đều là cùng một tài sản, có thể đổi 1:1 với Circle. Không còn kịch bản mất neo do mất cân bằng cầu nối.

Thanh khoản được thống nhất. Các bộ tổng hợp DEX và nhà tạo lập thị trường không còn phải duy trì sáu biến thể USDC khác nhau với sổ lệnh phân mảnh. Một tài sản duy nhất, thanh khoản sâu hơn, chênh lệch giá hẹp hơn.

Các cầu nối đa năng được định vị lại. LayerZero, Wormhole, Axelar, Hyperlane: những dự án này không biến mất, nhưng họ đang rời khỏi mảng chuyển stablecoin để tập trung vào truyền thông điệp tùy ý, di chuyển NFT, và bridging tài sản đuôi dài nơi phát hành gốc chưa tồn tại.

Những gì vẫn còn bất cập

Phát hành gốc không phải là giải pháp toàn diện. Một số vấn đề thực sự vẫn còn đó.

Độ trễ thanh toán của CCTP vẫn là 13-20 phút trên Ethereum mainnet do yêu cầu về tính cuối cùng. Với giao dịch, đó là cả một cõi vĩnh hằng. Các hệ thống dựa trên intent (Across, CoW, Everclear) hiện giờ vượt qua điều này bằng cách cung cấp thanh khoản trước và thanh toán qua CCTP ở phía sau, nhưng cách đó lại đưa trở lại một bên đối tác.

Các stablecoin nhỏ hơn vẫn phụ thuộc vào cầu nối. Nếu bạn đang nắm giữ stablecoin thuật toán hay stablecoin khu vực nào đó, bạn vẫn đang ở trong lãnh thổ khóa và đúc.

Và sự tập trung hóa là đánh đổi mà người ta nên thẳng thắn thừa nhận. Circle có thể đóng băng USDC trên bất kỳ chuỗi nào. Mô hình đốt và đúc khiến quyền lực đó càng tuyệt đối hơn chứ không phải kém hơn. Điều này chấp nhận được với stablecoin fiat được quản lý. Nhưng sẽ là thảm họa với thứ gì đó đang cố trở thành đồng tiền kháng kiểm duyệt.

Bài học kiến trúc

Điểm mấu chốt hơn là bảo mật mật mã không đồng nghĩa với bảo mật hệ thống. Bạn có thể có một hợp đồng cầu nối được kiểm toán hoàn hảo, được xác minh hình thức, và vẫn mất tất cả vì thiết kế kinh tế giả định sự tin tưởng ở nơi không hề có.

Những cầu nối sống sót được là nhờ thu hẹp phạm vi hoạt động. Những stablecoin mở rộng được quy mô là nhờ từ chối cho phép cầu nối ngay từ đầu. Cả hai đều là biến thể của cùng một nhận thức: hệ thống an toàn nhất là hệ thống có ít giả định tin tưởng hơn, không phải hệ thống dùng mật mã phức tạp hơn để bù đắp cho những giả định sai lầm.

Câu hỏi thiết kế tiếp theo đáng theo dõi là điều gì xảy ra khi mô hình này mở rộng ra ngoài stablecoin. Phát hành gốc cho trái phiếu kho bạc được token hóa đã có mặt. Cổ phiếu được token hóa là bước tiếp theo. Đến một lúc nào đó, khái niệm cầu nối tài sản đa dụng sẽ trông giống như một công nghệ chuyển tiếp mà chúng ta xây dựng vì chưa tìm ra lớp trừu tượng đúng đắn.