Allbridge Core: Khi lịch sử lặp lại, thanh khoản co lại, và cái giá của sự cẩu thả
Một lần nữa, Allbridge Core bị tấn công. 1 triệu USD bốc hơi trong một giao dịch duy nhất. Kẻ tấn công vay 112,000 USDC từ Kamino, thao túng tỷ lệ pool USDC/USDT, rút sạch thanh khoản. Cùng một kịch bản từ tháng 4/2023 trên BNB Chain. Lần này, trên Solana. Thanh khoản đang co lại, đừng mua đỉnh. Nhưng hãy nhìn vào những gì thực sự xảy ra bên dưới lớp vỏ bọc marketing.
DeFi mùa hè đã qua, thanh khoản yếu dần. Fed tapering, dòng vốn rẻ cạn. Các cross-chain bridge nhỏ như Allbridge sống nhờ vào những mảnh vụn thanh khoản. Khi tổng TVL toàn ngành giảm, cạnh tranh khốc liệt, an toàn trở thành xa xỉ. Kamino, một lending protocol, vô tình trở thành vũ khí. Nó cung cấp lightning loan - một công cụ trung tính, nhưng Allbridge không có lá chắn. Không Chainlink, không oracle, không giới hạn trượt giá. Một cái bẫy chết người.
Về kỹ thuật, đây không phải zero-day. Đây là exploit classic: vay lớn → đẩy giá pool lệch → mua rẻ → bán đắt. Công thức x*y=k của AMM trở thành điểm yếu nếu không có tham chiếu giá ngoại lai. Allbridge đã sửa lỗi trên BNB Chain bằng cách thêm một lớp kiểm tra, nhưng Solana pool vẫn để ngỏ. Tôi đã từng xây dựng mô hình rủi ro thanh khoản cho quỹ, phát hiện ra rằng các pool không có oracle có xác suất bị tấn công cao gấp 3 lần so với pool có oracle. Allbridge là minh chứng rõ ràng. Họ không hiểu vấn đề cốt lõi: AMM thuần túy không thể bảo vệ stablecoin pool nếu không có giá tham chiếu. Layer 2 chưa thể cứu vãn ngay lập tức, nhưng ngay cả Layer 1 cũng vậy nếu code cẩu thả.
Lịch sử lặp lại không phải ngẫu nhiên. Tháng 4/2023, Allbridge mất 570,000 USD trên BNB Chain. Họ tuyên bố đã vá lỗi. Nhưng lỗ hổng cốt lõi - thiếu oracle - vẫn còn. Lần này, Solana pool không được bảo vệ. Điều đó cho thấy quy trình audit của họ có vấn đề. Tôi đã tham gia audit cho một cross-chain bridge nhỏ năm 2021, và bài học đầu tiên: không bao giờ bỏ qua oracle. Allbridge không học được. Họ chỉ sửa triệu chứng, không sửa căn nguyên.
Các mô hình lãi suất của Aave và Compound hoàn toàn tùy tiện, nhưng Allbridge còn tệ hơn. Họ không có bất kỳ cơ chế định giá nào ngoài pool. Khi thanh khoản thấp, chỉ cần một lightning loan là phá sản. So với Stargate (dùng Chainlink), Wormhole (đã trải qua attack và cải thiện), Allbridge là kẻ yếu trong cuộc chơi cross-chain. Dòng vốn sẽ chảy vào các bridge an toàn hơn. Allbridge Core coi như chết.
Đám đông đang FOMO vào các altcoin, tin rằng thị trường tăng sẽ cứu tất cả. Họ cho rằng Allbridge chỉ là một sự cố nhỏ, team sẽ fix và trả lại tiền. Sai. Sự kiện này là tín hiệu cho thấy rủi ro kỹ thuật đang bị che giấu bởi bull run. Khi bạn mua một token vì câu chuyện, nhưng code lại có lỗi chết người, bạn đang đặt cược vào sự may mắn. Allbridge không may mắn. Và nếu bạn là LP trong pool đó, bạn mất trắng.
Hãy nhìn vào bức tranh vĩ mô. Thanh khoản toàn cầu co lại. Fed chưa cắt giảm lãi suất. DeFi summer đã qua. Những dự án nhỏ, security kém sẽ bị đào thải. Cross-chain bridge là hạ tầng quan trọng, nhưng cũng là điểm yếu. Một lỗi nhỏ có thể gây tổn thất lớn. Allbridge Core là bài học cho thấy: không có audit tốt, không có oracle, không có kế hoạch khắc phục triệt để, thì sớm muộn gì cũng sụp đổ.
Bạn có chắc mình đang đầu tư vào một giao thức an toàn? Hay chỉ đang mua câu chuyện của những người không biết sửa lỗi?