Một giao thức đã mất 24 triệu USD vì chấp nhận giá từ tương lai. Không phải lỗi signature, không phải reentrancy. Đơn giản: code tin rằng chữ ký hợp lệ đồng nghĩa với dữ liệu đúng. Và thế là 24 triệu USD bay khỏi OLP Vault.
Tôi đã chứng kiến nhiều vụ hack trong 9 năm làm on-chain detective. Nhưng Ostium khiến tôi nhớ lại năm 2020, khi tôi audit Uniswap v2 và phát hiện lỗi trong factory contract. Lỗi đó nhỏ, nhưng nó dạy tôi một bài học: mọi giả định về 'sự thật' trong blockchain đều phải được kiểm tra bằng code, không phải bằng niềm tin. Ostium đã quên bài học đó.
Context: Ostium là gì?
Ostium là nền tảng perpetual futures trên Arbitrum. Nó sử dụng oracle nội bộ với cơ chế: một tập hợp các 'signer' được ủy quyền ký giá, và các 'keeper' (PriceUpKeep) chịu trách nhiệm đưa chữ ký đó lên chain. Vấn đề: không có bất kỳ kiểm tra nào về tính hợp lệ của payload – không kiểm tra timestamp, không kiểm tra độ lệch giá. Nếu chữ ký hợp lệ, hệ thống coi dữ liệu là chân lý. Đây là một thiết kế naïve đến mức khó tin.
Core: Mổ xẻ lỗ hổng
Hãy nhìn vào hàm verify của OstiumVerifier. Nó chỉ làm một việc: khôi phục địa chỉ từ chữ ký ECDSA và kiểm tra xem địa chỉ đó có nằm trong danh sách signer được ủy quyền hay không. Nếu có, nó trả về true. Không có kiểm tra timestamp 'tươi mới', không có giới hạn deviation so với giá hiện tại. Kẻ tấn công (hoặc keeper độc hại) chỉ cần lấy một chữ ký giá được ký cho một ngày trong tương lai (ví dụ: giá BTC sẽ là 100.000 USD vào ngày mai) và gửi nó ngay hôm nay. Hệ thống chấp nhận, cho phép mở vị thế dựa trên giá tương lai và thanh toán ngay lập tức. Kết quả: 24 triệu USD từ OLP Vault bị rút sạch.
Điều này giống như một ngân hàng chấp nhận một tấm séc có chữ ký của chủ tài khoản, nhưng không thèm nhìn vào số tiền hay ngày tháng trên séc. 'Chữ ký hợp lệ, vậy thì chúng tôi chi trả.' – đó là logic của Ostium.
Tôi từng viết trong báo cáo audit của mình: 'Giao dịch là sự thật duy nhất.' Trong blockchain, mọi thứ đều có thể kiểm tra. Nếu bạn không kiểm tra timestamp, bạn đang mời gọi thảm họa. Lỗi này không phải do bug trong Solidity, mà là lỗi trong tư duy thiết kế hệ thống.
Contrarian: Góc nhìn của phe bò
Có một cách nhìn khác: sự kiện này là 'cần thiết' để thị trường thức tỉnh. Nó phơi bày một điểm mù mà nhiều dự án DeFi đang mắc phải: tin tưởng vào oracle một cách mù quáng. Các dự án như GMX, dYdX, Synthetix sẽ hưởng lợi từ làn sóng di cư của người dùng và thanh khoản. Các công ty bảo mật như Chainalysis, SlowMist sẽ có thêm hợp đồng audit cho economic security. Về dài hạn, thị trường sẽ định giá premium cho các giao thức có oracle phi tập trung và cơ chế kiểm tra đa chiều. Nhưng đừng nhầm lẫn: điều đó không làm cho Ostium bớt thảm họa. Lỗi vẫn còn đó, chỉ là chưa ai tìm ra. Trong trường hợp này, lỗi đã được tìm ra và khai thác triệt để.
Takeaway: Bài học về lòng tin
Ostium không chỉ mất 24 triệu USD. Nó đánh mất thứ quý giá nhất trong crypto: lòng tin. Khi một giao thức thiết kế oracle mà không có bất kỳ sự dư thừa nào, nó cho thấy đội ngũ thiếu kinh nghiệm về bảo mật tài chính. Terra từng dạy chúng ta: thanh khoản là hư ảo. Ostium dạy: ủy quyền không phải là sự thật. Câu hỏi dành cho bạn: lần tới khi bạn nhìn vào một dự án DeFi, bạn sẽ kiểm tra điều gì trước – chữ ký hay dữ liệu?