Sau vụ Binance bị đánh cắp 6,3 tỷ USD, liệu bốn sàn Perp DEX này có đủ an toàn?

Tác giả gốc: 0xJaehaerys

Biên dịch gốc: AididiaoJP, Foresight News

Ngày 29 tháng 10, ví nóng của Binance bị chuyển đi 6,3 tỷ USD. Theo Binance, laptop của một kỹ sư DevOps đã bị hack, kẻ tấn công từ đó xâm nhập vào các dịch vụ nội bộ, lệnh rút tiền được phát ra từ dịch vụ nội bộ; không có dấu hiệu nào cho thấy khóa riêng tư bị rò rỉ.

Nói cách khác, kẻ tấn công rất có thể không cần khóa riêng tư mà để chính hệ thống của Binance ký lệnh rút tiền. Binance sau đó phát hiện thêm nhiều điểm xâm nhập khác, bản tổng kết đầy đủ vẫn chưa được công bố. 3 tỷ USD đã bị đóng băng, Binance cam kết bù đắp.

Trên Ethereum, báo cáo của TRM cho biết kẻ tấn công đã khiến hệ thống ký của Binance phê duyệt một ủy quyền EIP-7702, trao quyền kiểm soát một ví nóng cho hợp đồng của kẻ tấn công. Các nhà nghiên cứu cho rằng hệ thống ký chặn theo danh sách "các hành động xấu đã biết" chứ không phải chỉ cho phép theo danh sách trắng "các hành động tốt đã biết", vì vậy phương thức ủy quyền mới hơn này đã lọt qua. Binance không xác nhận chi tiết này, và cũng không giải thích được tổn thất trên Bitcoin, Solana và Tron.

Một tháng trước, Bitget cũng mất hơn 350 triệu USD theo cách tương tự: kẻ tấn công xâm nhập vào hệ thống backend cung cấp dữ liệu giao dịch cho bộ ký, lệnh rút tiền ra ngoài với chữ ký hợp lệ.

Nếu hệ thống của sàn có thể động vào tiền của bạn, chỉ cần tấn công vào hệ thống là đủ. Các DEX hợp đồng vĩnh cửu thì luôn tuyên bố mình có thể tránh được loại rủi ro này về mặt cơ chế. Tôi chọn bốn dự án, thử phân tích cùng ba câu hỏi: tiền thực sự nằm ở đâu? Ai có thể động vào số tiền đó? Nếu đội ngũ biến mất hoặc bị hack, bạn còn có thể rời đi không?

Câu trả lời đến từ đọc dữ liệu on-chain, mã hợp đồng đã được xác minh, tài liệu và bài đăng của đội ngũ, cũng như @l2beat; lịch sử sự kiện tham khảo các báo cáo công khai. Đây không phải là kiểm toán, cũng không phải tìm lỗ hổng. Tôi chỉ xem xét một tình huống: nếu hệ thống và khóa của đội ngũ bị xâm phạm giống như Binance, kẻ tấn công có thể làm gì với chúng, và bạn còn có thể lấy lại tiền không?

Tôi không nói các giao thức này có lỗ hổng hay sẽ bị hack. Các biện pháp bảo vệ off-chain như ví MPC, chính sách ký, giám sát... không thể nhìn thấy từ bên ngoài, có thể khiến những tình huống này khó xảy ra hơn nhiều. Vì vậy những gì dưới đây nói về những gì hợp đồng cho phép, không phải dự đoán.

Lighter: Máy chủ bị hack cũng không động được vào số dư của bạn

Lighter giữ khoảng 1 tỷ USD trong hợp đồng trên Ethereum: 556 triệu USD USDC, 430 triệu USD LIT (151 triệu token), cộng thêm một ít ETH và các tài sản lặt vặt.

Trong điều kiện hoạt động bình thường, tiền chỉ có thể rời đi theo các lô đã được hợp đồng xác minh bằng chứng minh ZK. Lệnh rút tiêu chuẩn chỉ có thể chuyển đến ví của chủ tài khoản, ràng buộc này được cố định khi gửi tiền lần đầu. Rút tiền nhanh hơn và chuyển đến tài khoản khác cũng cần chữ ký ví của bạn. Vì vậy, bất kể ai nắm giữ sequencer, prover hay khóa validator của Lighter, đều không thể tự mình rút số dư đi.

Bạn cũng có thể không cần chờ họ. Trực tiếp khởi tạo lệnh rút tiền cưỡng chế trên Ethereum; nếu Lighter không xử lý trong 14 ngày, bất kỳ ai cũng có thể chuyển hợp đồng sang "chế độ sa mạc". Nâng cấp dừng lại, mọi người rút lui bằng chứng minh số dư ZK dựa trên dữ liệu đã có trên Ethereum.

Nhưng nó không hoàn toàn phi tín nhiệm.

Giá được nhà vận hành Lighter cung cấp theo giá chỉ số và giá đánh dấu, chứng minh không xác minh chữ ký oracle. Giá sai có thể dẫn đến thanh lý không công bằng, L2BEAT cũng cảnh báo cùng rủi ro này.

Ngoài ra còn có hai khóa guardian, có thể tạm dừng xử lý lô và rút tiền. Một khóa tối đa dừng 24 giờ mỗi lần, khóa kia tối đa 72 giờ, sau mỗi lần tạm dừng cần thời gian hồi để dùng lại. Tuy nhiên, cả hai khóa này đều không chặn được "chế độ sa mạc": chỉ cần 14 ngày rút tiền cưỡng chế không ai xử lý, hợp đồng vẫn có thể vào trạng thái toàn bộ rút lui.

Nâng cấp thì đi theo quy trình khác. Trong điều kiện bình thường, đa chữ ký 3/5 cần thông báo công khai trước 21 ngày trên Ethereum, người dùng có thời gian xem rõ đã thay đổi gì. Nhưng nếu ủy ban an ninh 4/7 khác cũng ký, thông báo 21 ngày này có thể bỏ qua hoàn toàn, nâng cấp có hiệu lực ngay lập tức. Đến nay mọi lần nâng cấp của Lighter đều đi theo con đường nhanh này. Chỉ trong tháng 10, trình xác minh chứng minh đã bị thay năm lần. Trình xác minh chứng minh là thành phần hợp đồng xác minh chứng minh rút tiền ZK; nó bị thay thế thường xuyên, nghĩa là "mã có thể bị sửa nhanh đến mức nào" không phải là rủi ro trên giấy.

Trong lịch sử, khi sụp đổ ngày 10 tháng 10 năm 2025 đã ngừng hoạt động khoảng 4,5 giờ. Cuối tháng 12 năm 2025 sau khi LIT ra mắt xuất hiện tình trạng chậm rút tiền. Ngày 17 tháng 10 năm 2026 có một lần guardian tạm dừng 2 giờ, L2BEAT coi đó là thử nghiệm. Ngày 20 tháng 10 và 29 tháng 10 mỗi lần có khoảng 4,5 giờ gián đoạn cập nhật trạng thái, đều kết thúc sau khi nâng cấp trình xác minh theo đường nhanh. Không có báo cáo công khai nào cho thấy tiền lưu ký bị tổn hại.

Đánh giá của tôi: trong bốn dự án, chỉ có Lighter chịu được kiểu hack máy chủ giống Binance — kẻ tấn công vào được máy chủ cũng không thể chỉ dựa vào máy chủ để rút số dư đi. Cái giá là, giá do nhà vận hành quyết định, đa chữ ký sửa mã lại có thể rất nhanh. Điều bạn thực sự phải tin, chính là hai điều này.

Hyperliquid: Phần lớn USDC nằm ở khóa đơn Coinbase và chuỗi riêng

Hyperliquid có 6,5 tỷ USD USDC hỗ trợ, phân tán ở ba nơi.

• Khoảng 5,6 tỷ USD, chiếm 86%, nằm trong ví dự trữ USDC đứng tên Coinbase trên HyperEVM;
• Khoảng 622 triệu USD, chiếm 10%, nằm trong hợp đồng CoreDepositWallet của Circle;
• Khoảng 290 triệu USD, chiếm 4,4%, vẫn còn ở cầu cũ trên Arbitrum.

Ví Coinbase đó là một địa chỉ thông thường, chỉ có một khóa riêng tư. Nghĩa là, 86% USDC có an toàn hay không, hoàn toàn phụ thuộc vào cách Coinbase bảo quản khóa riêng tư này, mà từ on-chain không thể thấy được. Chuỗi Hyperliquid còn có thể vòng qua khóa riêng tư của Coinbase, dùng giao dịch hệ thống không cần chữ ký, chuyển USDC qua lại giữa ví Coinbase và hợp đồng Circle, để số dư hai bên đại khái duy trì tỷ lệ 9:1 — tức là USDC trong ví Coinbase khoảng gấp 9 lần trong hợp đồng Circle.

Coinbase stake 506.000 token HYPE cho vai trò này, khoảng 46 triệu USD. Khoản stake này chỉ bị tịch thu khi ví không trả được phần lợi nhuận giao thức, và chưa đến 1% số dư, không tính là bảo chứng cho ví.

Hợp đồng Circle có thể nâng cấp, quản trị viên là một địa chỉ duy nhất; chuỗi Hyperliquid cũng có thể trực tiếp chuyển USDC ra. Trên cầu Arbitrum, 3 trong 4 validator ký là có thể giải ngân, trước khi giải ngân có cửa sổ 200 giây để chặn.

Lưới an toàn là Circle. Nó có thể đóng băng USDC gốc, 823 triệu USD USDC bị đánh cắp của Binance đã bị đóng băng trước khi chuyển đi. Đóng băng có thể chặn kẻ trộm, nhưng tiền sẽ bị kẹt cho đến khi có người xử lý.

Trên chuỗi có 27 validator đang hoạt động. 5 validator do Hyper Foundation vận hành chiếm 47% stake; ba validator lớn nhất cộng lại chiếm hơn một phần ba, chỉ cần offline là có thể làm tê liệt chuỗi. Chúng đều chạy phần mềm node mã nguồn đóng của Hyperliquid, đây là triển khai duy nhất, và được phát hành dưới dạng tệp nhị phân ký bằng khóa Hyper Foundation.

BTC, ETH, SOL vào thông qua giao thức độc lập Unit, nên spot bạn nắm giữ trên Hyperliquid là token Unit (UBTC, UETH, USOL). Unit nắm giữ 940 triệu USD trên 14 loại tài sản, trong đó 690 triệu ở BTC, ETH, SOL. Theo tài liệu của họ, ba guardian (Unit, Hyperliquid, Infinite Field) kiểm soát các kho bạc này, mỗi lệnh rút cần hai trong ba chữ ký, không có họ thì không thể chuộc lại. Sau sự kiện Binance, Unit đã thêm độ trễ cho tất cả các lệnh gửi và rút.

Tháng 3 năm 2025 sau khi JELLY bị ép giá, kho thanh khoản của chính Hyperliquid bị phơi nhiễm, các validator bỏ phiếu gỡ thị trường này xuống, và thanh toán theo giá tự chọn. Cầu Arbitrum nhiều lần tạm dừng khẩn cấp, lần gần nhất vào tháng 11 năm 2025; mỗi lần mở lại trong vài giờ, không có tổn thất tiền cầu.

Đánh giá của tôi: an toàn của phần lớn USDC chỉ phụ thuộc vào lưu ký Coinbase và chuỗi Hyperliquid, đóng băng của Circle là lưới an toàn; bản thân chuỗi phụ thuộc vào tập validator rõ ràng nghiêng về Hyper Foundation, chạy phần mềm mã nguồn đóng.

Aster: Lưu ký có giới hạn tốc độ on-chain

Aster có khoảng 500 triệu USD trong kho bạc trên BNB Chain, Ethereum, Arbitrum và Solana, trong đó 100 triệu là USDF. Chưa tính 1 tỷ USD ASTER và APX trong kho bạc BNB Chain.

Tiền kho bạc được gộp chung, ai sở hữu bao nhiêu được ghi trên Aster Chain; chuỗi này hiện chỉ do validator của chính Aster vận hành.

Mỗi lệnh rút từ kho bạc EVM đều phải do địa chỉ vận hành của Aster phát ra, và được hai khóa của Aster ký duyệt. Bạn cũng ký yêu cầu rút tiền, nhưng mã đã xác minh chỉ so sánh chữ ký của bạn với