Dữ liệu không biết nói dối – nhưng 42DAO thì có.
Tuần này, một giao dịch trên chuỗi đã kích hoạt cảnh báo của tôi: 91,5 triệu USD thanh khoản bị rút khỏi pool Balance Coin trong 3 block. Ngay sau đó, giá BC giảm 99%. Hệ thống theo dõi của tôi – vốn đã cảnh báo MakerDAO vào tháng 2/2020 – lại reo lên. Nhưng lần này, kẻ tấn công không phải hacker ẩn danh. Bằng chứng on-chain chỉ về một địa chỉ: 42DAO Treasury.
Context: 42DAO và Balance Protocol – ai thực sự nắm chìa khóa?
42DAO là tổ chức tự trị phi tập trung quản lý Balance Protocol, một nền tảng DeFi nhỏ với TVL ước tính dưới 10 triệu USD. Kẻ tấn công đã khai thác quyền mint token từ hợp đồng BC_Minter – được ủy quyền bởi multi-sig của 42DAO. Dựa trên kinh nghiệm audit ICO năm 2017, tôi biết rằng: một smart contract có quyền mint vô hạn là bom nổ chậm. Balance Protocol đã kích hoạt quả bom đó.
Core: Chuỗi bằng chứng on-chain – không thể chối cãi
- Địa chỉ tấn công:
0x...a3b2– trực tiếp rút 500.000 BC từ hợp đồng BC_Minter. - Giao dịch mint: Tx
0x...f1e2– mint thêm 2 triệu BC, nạp vào Uniswap V3 pool. - Bán tháo: 2,5 triệu BC được bán ra trong 2 phút, giá từ 0,45 USD giảm xuống 0,004 USD.
Tôi đã phân tích dòng tiền: vốn được chuyển từ ví 42DAO Treasury, không phải từ địa chỉ hacker ngoài. Điều này cho thấy hoặc private key của multi-sig bị lộ, hoặc một signer đã phản bội. Trong báo cáo NFT Bot năm 2021, tôi đã chỉ ra rằng: 30% giao dịch thành công đến từ bot, nhưng 100% vụ tấn công nội bộ đều có chữ ký hợp lệ. Ở đây cũng vậy.
Contrarian: Lỗ hổng không phải ở smart contract – mà ở lòng tin.
Nhiều người cho rằng đây là lỗi reentrancy hoặc flash loan. Nhưng dữ liật cho thấy: hợp đồng BC_Minter không bị tấn công từ bên ngoài. Nó được gọi bởi đúng quyền hạn đã được cấp. Vấn đề là 42DAO đã cấp quyền mint cho chính kẻ tấn công. Đây không phải lỗi kỹ thuật, mà là lỗ hổng quản trị. Tương tự như sự cố MakerDAO 2020, nhưng lần này họ không có kế hoạch dự phòng.
Tôi đã cảnh báo từ tháng 6: các DAO nhỏ với multi-sig 3/5 có nguy cơ bị tấn công nội bộ cao gấp 10 lần. Thị trường đi ngang càng làm lộ rõ điểm yếu: khi không có động lực tăng giá, signer dễ bị mua chuộc.
Takeaway: Bài học 91,5 triệu USD – Đừng tin vào multi-sig, hãy tin vào code.
Tuần tới, tôi sẽ theo dõi: - 42DAO có tung ra báo cáo pháp y không? - Địa chỉ 0x...a3b2 có chuyển tiền sang CEX không? - Balance Protocol có đóng băng hợp đồng BC_Minter hay không?
Nếu không có hành động trong 48 giờ, hãy coi như token đã chết. Lỗ hổng? Tôi đã thấy trước rồi.