Chiếc ví vẫn lặng lẽ di chuyển, như một vết dao âm thầm trên mặt nước phẳng lặng. Hơn một tháng sau cú tấn công gây thiệt hại trên 7,5 triệu USD, hacker của bot MEV Jaredfromsubway.eth vừa thức giấc. Mười giờ trước, 2,44 triệu DAI còn lại trong tay hắn đã được chuyển hóa thành 1.277 ETH. Bước tiếp theo, theo dõi từ on-chain analyst @ai_9684xtpa, là trộn coin qua Tornado Cash. Đây cũng chính là giao dịch cuối cùng của hắn trên blockchain.
Tôi đã nhìn chằm chằm vào dòng dữ liệu này suốt buổi tối ở Auckland. Không phải vì số tiền. Mà vì một cảm giác quen thuộc — cảm giác nhìn thấy một vết nứt trong hệ thống mà tất cả chúng ta đang vội vã xây dựng trên đó. Và trong một thị trường tăng giá như lúc này, khi mọi người đang chạy theo những câu chuyện tăng trưởng, vết nứt ấy càng trở nên đáng sợ hơn.
Hãy cùng tôi phân tích không phải về một vụ hack đơn thuần, mà là về cấu trúc mù quáng của nền kinh tế MEV. Bởi vì nếu chúng ta chỉ nhìn vào con số 2,44 triệu DAI, chúng ta sẽ bỏ lỡ toàn bộ bức tranh về một hệ sinh thái đang tự bào mòn từ bên trong.
Bối cảnh: Không chỉ là một vụ hack
Jaredfromsubway.eth không phải là một bot MEV tầm thường. Nó từng là một trong những tác nhân săn mồi tích cực nhất trên Ethereum Mainnet — một cỗ máy chạy bằng thuật toán, lợi dụng sự chênh lệch giá và thứ tự giao dịch để hút thanh khoản từ người dùng thông thường. Đối với những người tin vào sự công bằng của blockchain, sự tồn tại của các bot như thế này là một trong những điều trớ trêu nhất.
Vào tháng 7, chính cỗ máy săn mồi này đã trở thành con mồi. Một kẻ tấn công đã khai thác lỗ hổng trong logic của bot, rút đi hơn 7,5 triệu USD. Không cần phá vỡ bất kỳ giao thức DeFi vĩ đại nào. Không cần tấn công cầu nối hay khai thác lỗi smart contract phức tạp. Chỉ là tấn công vào một chiếc bot săn lùng giá trị — và chiếc bot ấy đã thua ngay trên chính sân nhà của nó.
Để hiểu vì sao sự kiện này lại là một biểu tượng cho sự thất bại mang tính cấu trúc, chúng ta cần nhìn lại một chút.
MEV — Maximum Extractable Value — là khái niệm về giá trị mà một thợ đào hoặc validator có thể trích xuất từ việc sắp xếp lại thứ tự giao dịch trong một block. Khi người dùng gửi một giao dịch mua token, họ thường phải chấp nhận trượt giá. Bot MEV sẽ can thiệp, mua token trước giao dịch của người dùng, đẩy giá lên, rồi bán lại cho chính người dùng đó với giá cao hơn. Mỗi lần như vậy, người dùng mất đi một phần nhỏ, và bot thu về lợi nhuận. Nhân với hàng triệu giao dịch mỗi ngày, con số trở nên khổng lồ.
Jaredfromsubway.eth nổi lên như một trong những bot điển hình cho kiểu kiếm tiền này. Nó tận dụng việc phát hiện các giao dịch lớn trong mempool để thực hiện các giao dịch sandwich — một kỹ thuật đặt lệnh mua trước và bán sau giao dịch mục tiêu.
Và rồi, vào một ngày tháng 7, kẻ săn mồi trở thành con mồi. Nhưng câu chuyện này không dừng lại ở một vụ hack. Nó mở ra một loạt vấn đề sâu hơn về bảo mật kiến trúc, về đạo đức MEV, và về những lỗ hổng mà thị trường tăng giá thường che giấu.
Trong 13 năm quan sát ngành này, tôi đã chứng kiến quá nhiều lần thị trường tăng giá biến những rủi ro cấu trúc thành những câu chuyện ngắn hạn. Và sự kiện này, với 7,5 triệu USD bị rút, rồi 2,44 triệu DAI cuối cùng được chuyển hóa thành ETH để trộn qua Tornado, là một lời nhắc nhở khắc nghiệt.
Core Insight: Giải phẫu một vụ tấn công — nơi kẻ săn mồi trở thành con mồi
Điều làm nên vụ tấn công này không phải là sự tinh vi của kỹ thuật, mà là sự lười biếng trong tư duy phòng thủ của chính nhà phát triển bot. Tôi đã dành nhiều giờ để phân tích dữ liệu on-chain, và có một chi tiết khiến tôi dừng lại.
Bot MEV truyền thống hoạt động dựa trên một mô hình tin cậy ngầm. Nó nhìn vào mempool, phát hiện một giao dịch lớn sắp được thực hiện, và tính toán khả năng sinh lời từ việc sandwich giao dịch đó. Để làm được điều này, bot cần liên tục thực hiện các cuộc gọi đến các sàn giao dịch phi tập trung — kiểm tra thanh khoản, kiểm tra giá, ước tính lợi nhuận.
Chính xác là ở đây, trong lớp logic "kiểm tra cơ hội", kẻ tấn công đã chèn vào một mồi nhử.
Thay vì gửi một giao dịch mua thật, kẻ tấn công đã tạo ra một loạt các giao dịch hoặc các lời gọi hàm được thiết kế đặc biệt để đánh lừa bot. Bot nhìn thấy thanh khoản dồi dào, nhìn thấy cơ hội chênh lệch giá lớn, và lao vào. Nhưng thay vì có được khoản lợi nhuận mong đợi, bot lại thực hiện các giao dịch chuyển tiền đến địa chỉ mà kẻ tấn công kiểm soát.
Điều quan trọng ở đây là tôi không đi sâu vào địa chỉ cụ thể của các smart contract bị lợi dụng để tránh biến phân tích này thành hướng dẫn tấn công. Nhưng dữ liệu trên Etherscan cho thấy một chuỗi tương tác bất thường — các lời gọi callback không nằm trong luồng dữ liệu thông thường của bot, và việc thiếu kiểm tra địa chỉ nhận đã biến một con bot thông minh thành một cỗ máy tự nộp tiền.
Đối với tôi, đây là một bài học đắt giá về việc niềm tin mù quáng vào tính tự động của thuật toán. Bot MEV tin rằng nó thông minh hơn thị trường. Nhưng nó đã quên rằng thị trường cũng có những kẻ săn mồi thông minh hơn nó.
Góc nhìn phản trực giác: Vết thương MEV và sự đạo đức giả của cộng đồng
Bây giờ, tôi muốn đưa ra một góc nhìn có thể khiến nhiều người khó chịu. Trong khi cộng đồng Ethereum nhanh chóng lên án kẻ tấn công, tôi nhìn thấy một nghịch lý lớn hơn.
Bot MEV như Jaredfromsubway.eth không phải là nạn nhân vô tội. Nó là một thợ săn. Sự tồn tại của nó được xây dựng trên việc thu lợi từ sự mất mát của người dùng khác. Mỗi giao dịch sandwich mà bot này thực hiện đồng nghĩa với việc một người dùng bình thường phải trả giá cao hơn cho khoản đầu tư của họ.
Khi chiếc bot này bị tấn công, một phần cộng đồng vui mừng — có lẽ chính đáng — vì một kẻ gây hại đã bị trừng phạt. Nhưng sự vui mừng đó che giấu một sự thật khó chịu hơn: toàn bộ nền kinh tế MEV vẫn tiếp tục tồn tại và phát triển mạnh mẽ.
Và ở đây, tôi nhìn thấy một vết thương sâu hơn. Vết thương của sự mù quáng.
Cuộc tấn công nhắm vào Jaredfromsubway.eth không phải là một tội ác đơn lẻ. Nó là một vết nứt phản chiếu bản chất đạo đức mơ hồ của ngành công nghiệp này.
Chúng ta xây dựng những câu chuyện về sự phi tập trung, về việc loại bỏ trung gian, về một hệ thống tài chính công bằng. Nhưng chúng ta cũng dung dưỡng những kẻ săn mồi — và đôi khi, chính chúng ta cũng trở thành kẻ săn mồi.
Trong thị trường tăng giá này, khi ai đó hỏi tôi về vụ hack bot MEV, họ thường không hỏi về cấu trúc mù quáng của hệ sinh thái. Họ hỏi về giá ETH, về cơ hội đầu tư, về cách tránh trở thành nạn nhân của những vụ tấn công tương tự. Nhưng hiếm ai hỏi: liệu sự tồn tại của những bot này có thực sự cần thiết cho một tương lai phi tập trung không?
Đây là điểm mù lớn nhất. Trong cơn sốt của thị trường tăng, mọi thứ có vẻ như đều đang phát triển. Các nhà đầu tư đổ tiền vào các giao thức mới. Các dự án huy động vốn với những câu chuyện hấp dẫn. Nhưng bên dưới lớp hào nhoáng ấy, những vết nứt cấu trúc vẫn ngày càng rộng hơn.
ICO từng được ca ngợi như một cuộc cách mạng. Let's not forget — tôi đã từng tin vào điều đó vào năm 2017, khi tôi đổ 500 NZD vào OmiseGO với giấc mơ về một hệ thống tài chính toàn cầu phi tập trung. Tôi đã thấy danh mục đầu tư của mình tăng gấp 12 lần trong hai tháng, rồi mất 80% giá trị vào cuối năm. ICO cuối cùng đã trở thành một cơn sốt đầu cơ, một vũ điệu của những lời hứa rỗng và sự thao túng. ICO là bài học, khi chúng ta chứng kiến các vụ sụp đổ lớn, chúng ta thường có xu hướng đổ lỗi cho sự ngu ngốc của thị trường hoặc sự tham lam của kẻ xấu. Nhưng chúng ta hiếm khi dừng lại để nhìn vào nền tảng. Tôi thấy trong vụ tấn công này một cơ hội để nói về niềm tin, về đạo đức, và về những ảo tưởng mà chúng ta đang nuôi dưỡng.
Trong không gian blockchain, kẻ tấn công không phải lúc nào cũng chống lại hệ thống. Đôi khi, họ phản ánh chính bản chất của hệ thống. Đó là điều khiến cho sự trừng phạt kẻ tấn công trở nên mơ hồ. Bot MEV Jaredfromsubway.eth đã khai thác người dùng trong một thời gian dài. Khi kẻ tấn công khai thác bot, hắn đang chơi trò chơi mà chính bot đó đã chơi — nhưng ở một tầng cao hơn. Điều này đặt ra câu hỏi về sự đồng lõa của chúng ta trong việc xây dựng một hệ sinh thái nơi mà những chiến thuật săn mồi như vậy được xem là hợp lệ.
Tôi đã rút khỏi mạng xã hội suốt ba tuần sau khi bán CryptoPunk của mình vào năm 2021. Tôi đã cảm thấy trống rỗng khi nhìn thấy một tài sản kỹ thuật số tăng 20 lần chỉ trong hai tháng — nhưng không có giá trị nội tại nào được tạo ra. Đó là lần đầu tiên tôi nhận ra rằng chúng ta đang xây dựng một ngành công nghiệp mà trong đó, phần lớn giá trị được tạo ra từ sự đầu cơ, không phải từ sự đổi mới. NFT không chỉ là pixel. NFT là một biểu tượng. Nhưng khi biểu tượng ấy bị biến thành công cụ đầu cơ, nó trở thành vết thương.
Hành động của hacker: Một cái nhìn qua lăng kính của dữ liệu on-chain
Bây giờ, hãy quay lại với dữ liệu cụ thể.
Theo phân tích từ @ai_9684xtpa, sau khi tấn công bot MEV Jaredfromsubway.eth, kẻ tấn công đã giữ im lặng trong một tháng. Sau đó, hắn bắt đầu di chuyển số tiền bị đánh cắp. Mười giờ trước, hắn đã chi 2,44 triệu DAI còn lại để mua 1.277 ETH. Điều này cho thấy một chiến lược rõ ràng: chuyển từ một stablecoin trung lập sang một tài sản có thể dễ dàng trộn lẫn thông qua Tornado Cash.
Đối với tôi, đây là một ví dụ điển hình về cách kẻ tấn công tuân theo một quy trình rửa tiền kinh điển:
- Giai đoạn một: Tấn công và rút tài sản dưới dạng stablecoin hoặc các token có giá trị ổn định, thường là DAI hoặc USDC.
- Giai đoạn hai: Chuyển đổi sang ETH — một tài sản có tính thanh khoản sâu và dễ dàng che giấu hơn trong các giao thức trộn tiền.
- Giai đoạn ba: Sử dụng Tornado Cash hoặc các dịch vụ tương tự để cắt đứt dấu vết giao dịch với nguồn gốc ban đầu.
Điều này không phải là một hành vi bất thường trong thế giới tội phạm mạng. Nó cho thấy sự bình tĩnh và kiên nhẫn của kẻ tấn công. Không có sự vội vã. Hắn không cố gắng chuyển tiền ngay lập tức, nhưng chờ đợi cho đến khi sự chú ý của cộng đồng giảm bớt.
Có một giây phút khi tôi nhìn vào dữ liệu này, tôi cảm thấy một sự lạnh sống lưng. Không phải vì hành động của hacker, mà vì sự giống nhau giữa hành vi của kẻ tấn công và hành vi của các quỹ đầu tư trong thị trường tăng giá. Cả hai đều tuân theo cùng một logic: mua vào khi có cơ hội, nắm giữ, và chờ đợi giá trị tăng lên trước khi bán ra.
Việc hacker mua ETH trước khi trộn tiền thông qua Tornado là một minh chứng cho thấy không chỉ kẻ tấn công, mà cả những người tham gia thị trường, đều đang sử dụng các công cụ tài chính phi tập trung theo cách mà họ thấy phù hợp với lợi ích cá nhân.
Nhưng có một điểm khác biệt. Khi tôi nhìn thấy các quỹ đầu tư mua ETH trong mùa tăng giá, họ thường công bố lý do của mình. Họ đăng tweet về tầm nhìn dài hạn, về nền tảng công nghệ vững chắc, về triển vọng của ngành blockchain. Khi hacker mua ETH, hắn không cần phải giải thích. Hắn chỉ cần di chuyển.
Điều đó đưa tôi đến một câu hỏi mà tôi nghĩ rằng chúng ta cần phải đối mặt trong thị trường tăng giá này: Liệu chúng ta đang xây dựng một hệ thống cho phép các giao dịch minh bạch để tạo niềm tin, hay chúng ta đang tạo ra một hệ thống mà trong đó, sự minh bạch trở thành một mối nguy hiểm?
Tornado Cash được thiết kế để bảo vệ quyền riêng tư. Nhưng khi hắn ta chuyển tiền qua Tornado, hắn đang che giấu dấu vết. Và blockchain vẫn ghi lại điểm bắt đầu và điểm kết thúc.
Contrarian Angle: Lỗ hổng không phải là vấn đề, mà là cách chúng ta tưởng tượng về bảo mật
Có một câu chuyện mà ngành công nghiệp chúng ta thường tự kể về mình. Đó là câu chuyện về mã nguồn mở, về tính minh bạch, về việc bất kỳ ai cũng có thể kiểm tra code. Nhưng câu chuyện này có một mặt tối. Khi mọi thứ đều minh bạch, kẻ tấn công cũng có thể nhìn thấy tất cả.
Điều này đặc biệt đúng với các bot MEV. Bot MEV phải hoạt động dựa trên các chiến lược phức tạp để có thể phát hiện và khai thác các cơ hội chênh lệch giá. Nhưng vì các chiến lược này được xây dựng trên nền tảng mở — với các địa chỉ smart contract công khai, các cuộc gọi hàm có thể kiểm tra — kẻ tấn công có thể nghiên cứu và tìm ra điểm yếu.
Trong trường hợp của Jaredfromsubway.eth, kẻ tấn công đã tận dụng chính sự phức tạp của bot. Bot quá tự tin vào khả năng tính toán của mình, và kẻ tấn công đã khai thác chính sự tự tin đó.
Sự mù quáng này không chỉ tồn tại ở cấp độ bot cá nhân. Nó tồn tại ở cấp độ giao thức, ở cấp độ hệ sinh thái. Trong thị trường tăng giá, các đội ngũ phát triển thường ưu tiên tốc độ và khả năng mở rộng hơn là bảo mật. Họ muốn ra mắt sản phẩm nhanh chóng, thu hút người dùng, huy động vốn. Bảo mật trở thành một suy nghĩ phụ — một việc cần làm sau cùng.
Điều này tạo ra một mảnh đất màu mỡ cho các cuộc tấn công. Và không chỉ các bot MEV bị ảnh hưởng. Các giao thức DeFi, các cầu nối, các sàn giao dịch phi tập trung — tất cả đều có thể trở thành nạn nhân của cùng một loại mù quáng.
Tôi đã thấy những dự án huy động được hàng trăm triệu USD với những lỗ hổng bảo mật có thể được phát hiện chỉ bằng một bài kiểm tra đơn giản. Trong một thị trường tăng giá, khi FOMO chiếm lĩnh, những lỗ hổng này bị bỏ qua. Nhưng khi thị trường điều chỉnh, chúng sẽ trở thành những quả bom nổ chậm.
Chúng ta cần một sự thay đổi về văn hóa. Thay vì xem bảo mật như một chi phí, chúng ta cần xem bảo mật như một phần của thiết kế cốt lõi. Trong kiến trúc blockchain, bảo mật không thể được thêm vào sau — nó phải là một phần của nền tảng. Đây là điều tôi thường chia sẻ trong các buổi workshop miễn phí của mình. Và đây cũng là điều tôi muốn nhấn mạnh.
Bảo mật không phải là một tính năng. Bảo mật là một đặc tính của hệ thống. Nếu chúng ta không xây dựng hệ thống dựa trên đặc tính đó, mọi thứ chúng ta làm sau này sẽ chỉ là vá víu.
Từ bài học MEV đến vết thương của niềm tin
Trong những năm qua, tôi đã chứng kiến rất nhiều vụ sụp đổ trong thị trường crypto. Từ các vụ sàn giao dịch sụp đổ đến các vụ hack cầu nối, các vụ rug pull trong DeFi. Mỗi lần như vậy, niềm tin của công chúng vào blockchain lại bị tổn hại.
Vụ tấn công Jaredfromsubway.eth có thể được xem là một vết thương nhỏ. Nhưng nó là biểu tượng cho những vết thương lớn hơn đang rỉ máu trong ngành này. Khi kẻ tấn công dùng 2,44 triệu DAI để mua 1.277 ETH trước khi trộn qua Tornado, hắn không chỉ đang che giấu tiền. Hắn đang che giấu cả một phần niềm tin của chúng ta vào hệ thống.
Điều tôi muốn mọi người hiểu là: chúng ta vẫn đang ở rất sớm trong quá trình phát triển của blockchain. Những vết thương này là bài học, không phải là tương lai. Nhưng để bước về phía trước, chúng ta cần phải trung thực với chính mình.
Chúng ta cần phải thừa nhận rằng không phải mọi thứ trong crypto đều màu hồng. Rằng có những kẻ xấu, có những lỗ hổng, có những sai lầm. Và rằng con đường phía trước vẫn còn dài.
Khi tôi nhìn vào dữ liệu on-chain của kẻ tấn công — từ vụ tấn công bot MEV đến việc mua ETH và sắp trộn qua Tornado — tôi không chỉ thấy một tên tội phạm mạng. Tôi thấy cả một bi kịch: một hệ thống được xây dựng để phi tập trung hóa quyền lực lại đang bị khai thác bởi những kẻ muốn tập trung hóa lợi ích.
Nhưng tôi cũng thấy một cơ hội. Mỗi vụ tấn công, mỗi vết thương, mỗi bài học đều là một cơ hội để chúng ta học hỏi. Và nếu chúng ta học được cách xây dựng bảo mật từ tận gốc, chúng ta có thể xây dựng một hệ thống mạnh mẽ hơn.
Câu hỏi mà tôi muốn để lại cho bạn đọc là:
Liệu chúng ta có đủ dũng cảm để nhìn vào những vết thương của mình, học từ chúng, và tiếp tục tiến về phía trước? Hay chúng ta sẽ tiếp tục phớt lờ và để mùa hè tăng giá làm lu mờ lý trí?
Như câu chuyện của chính tôi — từ ICO, DeFi Summer, đến NFT Explosion và bear market 2022 — mọi thứ đều thay đổi. Nhưng một điều không thay đổi: niềm tin của tôi vào tiềm năng của blockchain để tạo ra một thế giới minh bạch và công bằng hơn. Và tôi tin rằng, chỉ có thể đạt được điều đó khi chúng ta đối mặt với những vết thương của mình.