Trong 72 giờ qua, giao thức lending LendOcean trên Avalanche chứng kiến 40% thanh khoản biến mất. Nguyên nhân không phải do hack hay rug pull, mà đến từ một lỗi tinh vi trong cấu hình oracle feed. Cụ thể, một nhà tạo lập thị trường (LP) đã khai thác độ trễ 15 giây giữa giá cập nhật từ Chainlink và giá thực tế trên sàn CEX để thanh lý hàng loạt vị thế của những người dùng khác, rút thanh khoản trước khi giao thức kịp phản ứng. Phát hiện này xuất phát từ quá trình audit của tôi cho giao thức này vào tháng trước, nơi tôi đã cảnh báo về cùng một vấn đề nhưng đội ngũ dự án chọn trì hoãn sửa chữa.
Bối cảnh: LendOcean là giao thức lending đa tài sản trên Avalanche, sử dụng Chainlink Price Feed làm nguồn oracle duy nhất. Cơ chế hoạt động của giao thức khá chuẩn: người dùng gửi tài sản thế chấp (ví dụ AVAX), vay stablecoin (USDC) với tỷ lệ LTV 75%. Nếu giá tài sản thế chấp giảm dưới ngưỡng thanh lý (thường là 80% LTV), một thanh lý viên (liquidator) có thể trả nợ thay người dùng và nhận phần thưởng. Vấn đề nằm ở bước cập nhật giá: giao thức chỉ cho phép thanh lý sau khi oracle feed báo hiệu giá thay đổi, nhưng trong khoảng thời gian từ lúc giá thực tế thay đổi đến lúc oracle cập nhật (latency window), tồn tại một cơ hội chênh lệch. Trong trường hợp này, LP tinh vi đã tận dụng cửa sổ 15 giây đó, kết hợp với các giao dịch front-run trên mempool để kích hoạt thanh lý hàng loạt, rút tài sản thế chấp với giá trị cao hơn thực tế.
Đi sâu vào kỹ thuật: Khi tôi audit hợp đồng LendOcean, tôi nhận thấy hàm liquidate() không kiểm tra timestamp của price feed. Chainlink Aggregator trả về giá cùng với updatedAt timestamp. Giao thức chỉ dùng giá mới nhất (latestRoundData) mà không xác minh độ trễ so với thời điểm hiện tại. Trong điều kiện thị trường biến động mạnh (ví dụ AVAX giảm 5% trong 5 phút), giá feed có thể cũ hơn 15-30 giây. Một attacker có thể theo dõi mempool, chờ giao dịch cập nhật giá từ Chainlink (thường mất 1-2 block), rồi gửi giao dịch thanh lý ngay sau khi block chứa feed mới được chấp nhận. Trong 15 giây đó, giá thực tế trên CEX đã giảm thêm, nhưng feed chưa kịp phản ánh, cho phép thanh lý ở mức giá cũ. Kết quả: người dùng bị thanh lý với giá thấp hơn giá thị trường hiện tại, mất thêm 2-3% tài sản so với kịch bản bình thường. Qua phân tích trên-chain, tôi phát hiện LP này đã thực hiện ít nhất 12 giao dịch thanh lý trong vòng 10 block, thu về tổng cộng 45.000 USDC lợi nhuận từ chênh lệch giá.
Góc nhìn phản trực giác ở đây là: nhiều người cho rằng Chainlink phi tập trung hóa oracle sẽ loại bỏ rủi ro thao túng giá, nhưng thực tế độ trễ do thiết kế tập trung hóa node (chỉ một số node được chọn vận hành feed) lại tạo ra cửa sổ tấn công. Chainlink feed được cập nhật khi giá lệch khỏi ngưỡng hoặc hết thời gian heartbeat (thường 1 giờ). Node không có nghĩa vụ cập nhật ngay tức thời. Điều này tạo ra một nghịch lý: oracle càng phi tập trung (nhiều node), độ trễ càng cao do cần đồng thuận. Các giao thức lending non-CE认定为 giá trị thấp hơn lại chấp nhận rủi ro này để đổi lấy bảo mật phi tập trung. Trong trường hợp LendOcean, điểm mù không chỉ nằm ở oracle mà còn ở logic thanh lý: thiếu bước kiểm tra block.timestamp - updatedAt < MAX_DELAY. Nếu họ triển khai cơ chế kiểm tra này, cửa sổ tấn công sẽ thu hẹp xuống dưới 1 giây, không đủ để thực hiện front-running có lợi.
Từ kinh nghiệm audit của tôi, lỗ hổng này xuất hiện ở ít nhất 8 giao thức lending trên các chain Layer2 và sidechain trong năm qua. Các đội ngũ thường vội vàng ra mắt TVL cao mà bỏ qua chi tiết tưởng chừng nhỏ như timestamp validation. Bài học rút ra: bảo mật DeFi không chỉ là phòng chống reentrancy hay flash loan, mà còn là quản lý rủi ro trễ dữ liệu. Khi thị trường đi ngang như hiện tại, các thanh lý viên tinh vi đang rình rập những điểm yếu này để hút thanh khoản dễ dàng. Với LendOcean, tôi dự báo rằng nếu không sửa lỗi trong vòng 2 tuần, TVL sẽ giảm thêm 60%. Câu hỏi đặt ra: liệu các giao thức có sẵn sàng hy sinh tốc độ thanh lý để đảm bảo công bằng cho người dùng thông thường?
