Khai thác cầu nối Verus Ethereum: Cùng một lỗ hổng 11,58 triệu USD
Vào ngày 18 tháng 5 năm 2026, ai đó đã rút cạn cầu nối Verus-Ethereum với số tiền 11,58 triệu đô la. Theo báo cáo của CoinDesk, đây là vụ tấn công cầu nối thứ tám trong năm. Vụ khai thác cầu nối Verus Ethereum không liên quan đến một kiểu tấn công mới lạ nào. Đó vẫn là lỗi quen thuộc đã giết chết các cầu nối từ năm 2021: hợp đồng giải phóng tiền trên một chuỗi mà không xác minh đúng những gì thực sự xảy ra trên chuỗi kia.
Lần này, hàm dễ bị tấn công có một cái tên cụ thể: checkCCEValues. Đó là quy trình được thiết kế để xác nhận rằng các giá trị xuất xuyên chuỗi khớp với thực tế trước khi đúc hoặc giải phóng trên phía Ethereum. Nó đã không hoàn thành nhiệm vụ, và kẻ tấn công đã rút lui thành công.
Tôi đã dành bốn năm xây dựng cơ sở hạ tầng liền kề với cầu nối trong một bối cảnh có quy định, và điều đáng buồn là mọi thứ đã trở nên có thể đoán trước đến mức nào. Chúng ta cứ đặt tên mới cho cùng một vết thương cũ.
Vụ khai thác cầu nối Verus Ethereum là một lỗi xác thực nguồn
Gạt bỏ tên gọi thương hiệu, mọi cầu nối đều làm một việc duy nhất. Nó quan sát một sự kiện trên chuỗi A (một khoản nạp tiền, một lệnh khóa, một lệnh xuất) và tạo ra hành động tương ứng trên chuỗi B (đúc token, mở khóa, giải phóng). Toàn bộ mô hình bảo mật thu gọn lại thành một câu hỏi duy nhất: liệu chuỗi B có thực sự tin vào những gì chuỗi A nói không, và nó có kiểm tra không?
Khi phép xác nhận dùng để kiểm tra số tiền phía nguồn bị sai, câu trả lời trở thành "không." Kẻ tấn công giả mạo hoặc thổi phồng giá trị xuất được khai báo, hợp đồng đích tin vào đó, và các token chưa bao giờ được bảo đảm lại được đúc hoặc giải phóng. The Block đưa tin thiệt hại vào khoảng 11,58 triệu đô la, bị rút cạn thông qua đúng loại lỗ hổng kế toán này trong quá trình kiểm tra xuất xuyên chuỗi.
Đây là xác thực số lượng nguồn trong một cầu nối, và đó là hàm quan trọng nhất trong toàn bộ hệ thống. Sai một phép so sánh và cầu nối biến thành máy in tiền miễn phí.
checkCCEValues chỉ là tên mới nhất của một lỗ hổng cũ
Lỗ hổng checkCCEValues về cấu trúc giống hệt những lỗi đã khiến ngành này thiệt hại hàng tỷ đô la. Tên gọi thay đổi. Cơ chế thì không.
- Wormhole, 2022: một lỗ hổng xác minh chữ ký cho phép kẻ tấn công đúc 120.000 wrapped ETH mà không cần nạp tiền thật.
- Nomad, 2022: việc khởi tạo merkle root sai lầm khiến mọi thông điệp đều được xác nhận là hợp lệ, và cầu nối bị đám đông khai thác sao chép đến cạn kiệt.
- Multichain, 2023: các khóa và giả định tin cậy mà không ai từ bên ngoài có thể thực sự xác minh.
Mỗi trường hợp đó, về bản chất, đều là chuỗi đích giải phóng giá trị mà không có bằng chứng xác thực về sự kiện nguồn. checkCCEValues là cách viết năm 2026 của cùng một từ đó.
Tôi cho rằng ngành công nghiệp tiếp tục coi những vụ này là các lỗi kỹ thuật riêng lẻ, trong khi đây là một thất bại mang tính hệ thống. Bạn không thể khắc phục một thất bại hệ thống bằng cách kiểm toán kỹ hơn một hàm duy nhất.
Tornado Cash đã tài trợ cho kẻ tấn công, điều này tiết lộ ý định
Ví của kẻ tấn công được nạp tiền qua Tornado Cash trước khi khai thác. Chi tiết đó ít có giá trị trong việc quy kết danh tính hơn là những gì nó nói lên về sự chuẩn bị. Đây không phải là một hacker mũ trắng mò mẫm hợp đồng rồi bất ngờ với kết quả. Mô hình kẻ tấn công được tài trợ qua Tornado Cash là dấu hiệu đặc trưng của người đã thiết lập vỏ bọc hoạt động từ nhiều ngày trước và biết rõ rằng các quỹ sẽ cần rửa tiền trên đường ra.
Đó là điểm mà những người phòng thủ thường đánh giá thấp. Khi giao dịch khai thác được thực hiện, lối thoát vốn đã được xây dựng sẵn. Việc truy vết sau sự cố giúp ích cho các công tố viên, nhưng hầu như không làm được gì cho giao thức vừa mất hàng chục triệu đô la.
Các lỗ hổng bảo mật cầu nối giờ là khoản thuế hàng tháng
Nhìn rộng ra thì vụ hack Verus chỉ là một khoản mục, không phải ngoại lệ. Theo dữ liệu PeckShield được Bitcoin.com trích dẫn, các vụ khai thác cầu nối crypto cộng lại khoảng 328 triệu đô la chỉ trong tháng 5 năm 2026. Tám sự cố cầu nối trong chưa đầy năm tháng đầu năm.
Thị trường đã lặng lẽ định giá điều này như một chi phí tất yếu khi kinh doanh xuyên chuỗi. Đó là bài học sai. Một khoản lỗ định kỳ hàng tháng lên đến chín con số không phải là biến động, mà là một lỗi cấu trúc mà không gian thiết kế cố tình né tránh.
Với bất kỳ ai đang chuyển giá trị thực, bài học rút ra thật không dễ chịu: hầu hết các cầu nối đều là các giả định tin tưởng được khoác lên bộ trang phục toán học. Tôi đã lập luận trước đây, trong How Stablecoin Bridges Actually Fail, rằng cầu nối an toàn nhất thường là cầu nối thừa nhận nó thực sự xác minh được rất ít.
Một kiểm tra cầu nối thực sự đáng tin trông như thế nào
Nếu bạn đang xây dựng hoặc kiểm toán một cầu nối, việc xác thực số lượng ở phía nguồn là nơi bạn nên dồn phần lớn sự nghi ngờ vào đó. Một số điều tôi xem là không thể thương lượng:
- Hợp đồng đích phải xác minh bằng chứng mật mã của sự kiện nguồn, chứ không phải dựa vào lời của một relayer. Ưu tiên dùng bằng chứng light-client hoặc zk thay vì chữ ký đa bên bất cứ khi nào ngân sách độ trễ cho phép.
- Kiểm tra số lượng phải toàn diện trên mọi nhánh xử lý. Lớp lỗi
checkCCEValuesthường ẩn mình trong một nhánh mà một số đầu vào bỏ qua. Hãy fuzz phép so sánh, đừng chỉ nhìn bằng mắt. - Giới hạn tốc độ và công tắc ngắt mạch theo từng tài sản, để một giá trị bị giả mạo không thể rút cạn toàn bộ dự trữ trong một giao dịch. Một ngưỡng tự động tạm dừng ở mức khoảng 5% TVL mỗi giờ đã có thể làm giảm nhẹ phần lớn các sự cố năm 2026.
- Giám sát bất biến độc lập theo dõi tổng lượng đã mint so với tổng lượng đã khóa theo thời gian thực và dừng hệ thống khi phát hiện sai lệch.
Không có gì trong số đó là mới mẻ. Bộ công cụ kiểm toán để phát hiện những vấn đề này đã tồn tại, như tôi đã đào sâu trong bài về bộ công cụ kiểm toán. Vấn đề là các cầu nối vẫn liên tục đưa việc xác thực vào như một phần bổ sung sau cùng, thay vì coi đó là sản phẩm cốt lõi.
Vụ hack cầu nối tiếp theo của năm 2026 đang được viết ra. Nó sẽ có tên hàm khác nhưng cùng một nguyên nhân gốc rễ, và chúng ta sẽ lại tỏ ra ngạc nhiên. Chúng ta không nên như vậy.