Mã nguồn sạch, logic bẩn: Vụ hack 10 triệu USD của dự án Huyền Vi và bài học từ lỗi reentrancy
Trương Tuệ
Một dự án DeFi Việt Nam vừa mất 10 triệu USD. Lỗi reentrancy cổ điển. Nhưng câu chuyện thú vị hơn thế: code nhìn sạch sẽ, được audit bởi công ty có tên tuổi, nhưng logic bẩn đến mức không thể tin nổi.
Huyền Vi là giao thức lending fork từ Compound, TVL đạt 50 triệu USD chỉ sau 3 tháng. Bài báo trên CoinDesk kể rằng hacker đã rút sạch pool thanh khoản ETH. Team nói họ đã fix ngay lập tức. Nhưng tôi không tin. Tôi đã đọc code.
Vấn đề nằm ở hàm withdraw. Không có mutex, không có reentrancy guard. Hàm gọi callback trước khi cập nhật balance. Ai cũng biết lỗi này từ 2016. Nhưng tại sao nó vẫn xuất hiện? Bởi vì team đã fork code từ Compound nhưng thêm một tính năng "flash loan" nhỏ. Họ nghĩ rằng mình thông minh. Thực tế, họ đã phá vỡ invariant cơ bản.
Mã nguồn sạch, logic bẩn. Đó là câu nói tôi thường dùng khi audit. Code viết đẹp, comment rõ ràng, nhưng thiếu đi lớp bảo vệ thiết yếu. Năm 2017, tôi audit VeriBlock – một ICO huy động 4000 ETH. Lỗi hoàn toàn giống: reentrancy trong withdraw. Team phủ nhận, tôi tung bằng chứng, giá token giảm 70%. Câu chuyện lặp lại sau 8 năm.
Fork không phải là innovation. Huyền Vi chỉ copy Compound và thêm vài dòng code. Họ không hiểu tại sao Compound dùng checks-effects-interactions pattern. Họ nghĩ rằng thêm một external call trước khi cập nhật trạng thái là an toàn. Sai lầm ngây thơ. Kết quả: 10 triệu USD bốc hơi.
Nhưng hãy nhìn từ góc contrarian: phe bò sẽ nói rằng lỗi này dễ sửa, chỉ cần thêm reentrancy guard. Họ cho rằng TVL sẽ phục hồi sau khi fix. Họ đúng một phần. Nhưng vấn đề lớn hơn: văn hóa an toàn. Một dự án không có nguyên tắc security-first sẽ tiếp tục sai lầm. Tôi đã thấy điều này ở SushiSwap migration 2020. Họ sửa lỗi, nhưng chỉ sau khi tôi viết báo cáo 20 trang và đe dọa công khai.
Lịch sử không dạy được ai. VeriBlock, SushiSwap, giờ là Huyền Vi. Cùng một kịch bản: code fork, audit hình thức, lỗi reentrancy. Tôi thấy mệt mỏi. Nhưng tôi vẫn viết. Bởi vì nếu không ai nói, thị trường sẽ tiếp tục bị lừa.
Đọc code trước khi ký. Nếu bạn không thể audit, hãy giữ stablecoin. Đừng để lòng tham làm mờ mắt. Mỗi lần tôi thấy một dự án fork với những thay đổi nhỏ, tôi biết rằng sẽ có hack. Đó không phải là prediction, đó là pattern recognition.
Huyền Vi đã rollback và hứa bồi thường. Nhưng niềm tin đã mất. Câu hỏi cuối: bạn có dám tiếp tục stake vào bất kỳ dự án nào chưa qua audit độc lập, chưa có time lock, chưa có bug bounty? Tôi thì không.
Và đây là suy nghĩ tiến bộ: Hãy coi mỗi vụ hack là một bài kiểm tra cho toàn bộ hệ sinh thái. Nếu chúng ta không học được gì, thì 10 triệu USD tiếp theo sẽ đến sớm thôi.