Cetus bị Hacker tấn công: Chúng ta nên nhìn nhận điều gì sau sự việc này?

Lời mở đầu

Vào ngày 22 tháng 5, Cetus, giao thức DEX hàng đầu trong hệ sinh thái Sui, đã bị tin tặc tấn công và hợp đồng cốt lõi của giao thức dễ bị tấn công và những kẻ tấn công đã tận dụng cơ hội để chênh lệch giá một số lượng lớn tài sản. Trong một khoảng thời gian ngắn, vụ việc đã thu hút sự chú ý rộng rãi, không chỉ ảnh hưởng đến người dùng liên quan mà còn khiến một số dự án Sui bước vào trạng thái ứng phó khẩn cấp.

Nhưng điều đến sau đó không phải là lùi chuỗi hoặc can thiệp quyền siêu, mà là nhanh chóng khởi động: bỏ phiếu của người xác thực, dự án tự ngừng hoạt động, đóng băng tài sản trên chuỗi, nâng cấp tự kiểm tra giao thức... Toàn bộ quá trình này đã tạo thành một buổi diễn tập thực sự về quản trị an ninh tài chính trên chuỗi.

Tính đến thời điểm bài viết này được hoàn thành, sự kiện tấn công hacker lần này đã diễn ra được năm ngày, sự kiện này ảnh hưởng rộng rãi, đã gây ra cuộc thảo luận sôi nổi trong cộng đồng về "an toàn trên chuỗi", "quản trị phi tập trung" và "phản ứng khẩn cấp của giao thức".

Bài viết này cố gắng làm rõ: Chuyện gì đã xảy ra lần này? Trách nhiệm nằm ở đâu? Hệ sinh thái Sui đã phản ứng như thế nào? Chúng ta nên học được gì từ điều này?

Cuộc tấn công xảy ra như thế nào?

Cuộc tấn công xảy ra vào sáng ngày 22 tháng 5 năm 2025, mục tiêu là bể thanh khoản CLMM của Cetus. Kẻ tấn công đã phát hiện ra một lỗ hổng trong hợp đồng, thông qua việc xây dựng giao dịch, đã rút tài sản trong nhiều vòng hoạt động.

Cụ thể quá trình như sau:

Khoảng 10:30 UTC, cuộc tấn công bắt đầu. Hacker đã làm giảm giá pool thông qua các giao dịch bất thường, mở các vị thế thanh khoản ở vùng giá cao, khai thác lỗ hổng logic hợp đồng để bơm một lượng lớn thanh khoản "giả" với số lượng token rất nhỏ.

Sau đó, hacker liên tục thực hiện "thêm/loại bỏ thanh khoản", lấy đi tài sản thực từ pool.

Cuộc tấn công kéo dài khoảng 20 phút, một số hệ thống giám sát bắt đầu báo động.

40 phút sau khi xảy ra tấn công

10:40 UTC, hệ thống giám sát của Cetus phát hiện hành vi bất thường của bể.

10:53 UTC, đội ngũ Cetus xác nhận nguồn tấn công và thông báo thông tin đến các dự án khác trong hệ sinh thái Sui.

10:57 UTC, Cetus đã ngay lập tức đóng bể thanh khoản cốt lõi để ngăn chặn tổn thất thêm.

11:20 UTC, ngừng hoàn toàn các hợp đồng liên quan.

Phản ứng này rất nhanh, nhưng tin tặc đã đánh cắp một lượng lớn tiền.

Làm thế nào để đóng băng tiền của hacker?

Sau khi sự kiện mở rộng, hệ sinh thái đã khởi động phản ứng khẩn cấp trong phạm vi lớn hơn:

Các trình xác thực Sui nhanh chóng bắt đầu hợp tác trên chuỗi, bỏ phiếu xem có từ chối việc đóng gói giao dịch từ địa chỉ của hacker hay không;

Sau khi đạt ngưỡng 33% tiền đặt cọc, địa chỉ hacker đã bị đóng băng hiệu quả, giao dịch không thể tiếp tục được xử lý trên chuỗi.

Đây không phải là khôi phục hệ thống, cũng không phải là can thiệp từ phía backend, mà là hành động được thực hiện bởi các xác thực thông qua cơ chế đồng thuận. Trạng thái của chuỗi không bị thay đổi, giao dịch của người dùng không bị sửa đổi, mọi thứ được thực hiện dựa trên các quy tắc hiện có trên chuỗi.

Cái gọi là "khôi phục hệ thống" đề cập đến việc đưa trạng thái của toàn bộ mạng blockchain trở lại một thời điểm nhất định trước khi xảy ra cuộc tấn công, giống như quay ngược thời gian. Điều này thường có nghĩa là các giao dịch đã được xác nhận sẽ bị xóa và lịch sử của chuỗi được viết lại. "Can thiệp back-end" đề cập đến việc kiểm soát trực tiếp các nút hoặc quỹ bởi một cơ quan tập trung (chẳng hạn như bên dự án hoặc quỹ), bỏ qua quy trình thông thường để đưa ra quyết định xử lý.

Trong sự kiện này, những tình huống này đã không xảy ra. Các validator đã thực hiện việc đóng băng thông qua bỏ phiếu công khai, tự quyết định, dựa trên các quy tắc trên chuỗi, đây chính là sự thể hiện của quản trị phi tập trung.

Hiện tại tình hình tài chính như thế nào?

Dữ liệu được công bố bởi Cetus như sau:

Tin tặc đã đánh cắp tài sản khoảng 230 triệu USD;

Trong đó, 160 triệu đô la tài sản vẫn đang nằm trong hai địa chỉ Sui bị đóng băng, không thể chuyển nhượng.

6000 triệu đô la tài sản đã được chuyển giao qua chuỗi sang Ethereum, hiện có hai địa chỉ đang được theo dõi.

Thỏa thuận đang thúc đẩy việc bỏ phiếu trong cộng đồng để quyết định cách thức hoàn trả tài sản và bồi thường.

Tại sao lại xảy ra sự cố? Có phải do vấn đề của chuỗi chính nó? Hay là vấn đề lỗ hổng ở tầng ứng dụng?

Theo báo cáo của SlowMist và phân tích của những người có ảnh hưởng kỹ thuật, tất cả đều chỉ ra cùng một vấn đề: nguyên nhân gốc rễ của sự cố là một vấn đề với logic mã nguồn mở được sử dụng trong hợp đồng Cetus. Kẻ tấn công đã khai thác một lỗi trong hợp đồng lớp ứng dụng liên quan đến kiểm tra tràn dữ liệu, sẽ không gây ra thiệt hại nếu nó được phát hiện và sửa chữa sớm hơn. Do đó, nó không phải là một lỗ hổng của bản thân ngôn ngữ lập trình Move.

Điều quan trọng là: Mạng Sui bản thân nó không bị tấn công và cũng không có rủi ro hệ thống.

Đây là một sự kiện "sự cố an ninh tầng giao thức" tiêu chuẩn, không phải là vấn đề an ninh tầng chuỗi.

Sau khi cuộc tấn công xảy ra, các dự án khác trong hệ sinh thái Sui sẽ hành động như thế nào?

Sau khi Cetus dừng hoạt động, nhiều dự án trên Sui bắt đầu tự kiểm tra an toàn. Chúng tôi nhận thấy rằng giao thức Momentum cũng đã tạm dừng giao dịch ngay khi vụ tấn công xảy ra, hoàn thành kiểm tra mã toàn chuỗi và đánh giá rủi ro, và đã phục hồi sau khi số tiền bị đánh cắp được đóng băng.

Giao thức Momentum, với tư cách là Dex hàng đầu hiện tại trên hệ sinh thái Sui, đã ngay lập tức ngừng giao dịch, phối hợp với Quỹ Sui để khóa các quỹ bị đánh cắp, nhằm ngăn chặn hacker lan truyền chúng qua giao dịch Dex đến nhiều tài khoản tài sản giao dịch hơn. Đồng thời, đã tiến hành kiểm tra cẩn thận, sau khi xác nhận kết quả kiểm tra là chính xác và xác nhận rằng các quỹ bị đánh cắp đã được Quỹ Sui thành công phong tỏa, đã khôi phục chức năng giao dịch trước tiên.

Điều gì xảy ra sau sự cố?

Hiện tại:

Cetus đã hoàn thành sửa lỗi cốt lõi, đang xem xét lại mã với đội ngũ kiểm toán;

Kế hoạch bồi thường cho người dùng đang được xây dựng, một phần phụ thuộc vào việc bỏ phiếu quyết định các đề xuất quản lý sinh thái.

Các dự án Sui khác cũng đã lần lượt khôi phục hoạt động hoặc đang hoàn thành việc củng cố an toàn.

Toàn bộ hệ sinh thái không bị ngừng lại, mà ngược lại, sau sự kiện đã xem xét một cách hệ thống hơn các cơ chế an ninh.

Sự kiện lần này đã dạy chúng ta điều gì?

Lần này Cetus bị tấn công, và tất cả các nhà xây dựng và người dùng một lần nữa phải đối mặt với một vấn đề thực sự:

An toàn giao thức, rốt cuộc dựa vào cái gì?

Câu trả lời ngày càng rõ ràng:

Dựa vào trí tuệ tập thể mang lại từ việc phi tập trung, không phải lấy phi tập trung làm cái cớ để không hành động;

Dựa vào việc đầu tư hệ thống liên tục, không phải chỉ một hoặc hai báo cáo kiểm toán;

Dựa vào chuẩn bị thường xuyên và xây dựng cơ chế, không chỉ là khắc phục sau sự cố;

Dựa vào sự sẵn lòng của từng người tham gia để chịu trách nhiệm và hành động chủ động, thay vì đổ lỗi cho "chuỗi" hoặc "công nghệ".

Chúng tôi thấy rằng các tin tặc đã gây ra thiệt hại, nhưng không phá hủy hệ thống;

Cũng thấy rằng, phi tập trung không phải là ẩn mình sau các quy tắc và quan sát từ xa, mà là tự phát tập hợp lại, giữ vững nguyên tắc, bảo vệ người dùng.

Kết luận

Điều thực sự phi tập trung không phải là khẩu hiệu, mà là trách nhiệm.

Trong sự hỗn loạn này, không có vị cứu tinh.

Các nhà khai thác xác thực Sui đã bỏ phiếu đóng băng các giao dịch rủi ro; các giao thức khác đã hoàn thành kiểm tra an ninh, một số đã nhanh chóng phục hồi hoạt động; người dùng cũng đang tiếp tục theo dõi và thúc đẩy cải tiến.

Điều hành phi tập trung không phải là buông lỏng, mà là hợp tác có giới hạn, có nguyên tắc và có trách nhiệm.

Trong một hệ thống không có hậu trường, niềm tin phải được duy trì bởi từng dòng mã, từng cơ chế, và từng quyết định.

Sự kiện lần này vừa là một cuộc khủng hoảng, vừa là một bài kiểm tra, và còn là một tấm gương.

Nó nói với chúng ta:

Phi tập trung không phải là mục đích, mà là một phương pháp, mục đích là xây dựng niềm tin; phi tập trung mang lại trí tuệ tập thể.

Phi tập trung là quan trọng, nhưng hiệu quả vốn và bảo mật giao thức thậm chí còn quan trọng hơn.