Hook
Ngày 22 tháng 7 năm 2025, tại EthCC Paris, một kỹ sư giao thức của EigenLayer lên bục và nói: "Nếu bất kỳ AVS nào triển khai mã chưa được vá lỗ hổng nghiêm trọng trong vòng 14 ngày, EigenLayer sẽ kích hoạt cơ chế slashing thông qua quản trị." Cả hội trường im lặng. Đây không phải lời khuyên. Đây là một đường ranh đỏ.
Lỗ hổng không ngủ. Nhưng lần này, kẻ đánh thức nó không phải hacker – mà chính là người giữ chìa khóa.
Context
EigenLayer là một giao thức restaking cho phép các validator Ethereum "tái sử dụng" ETH đã stake để bảo mật các dịch vụ bên ngoài gọi là AVS (Actively Validated Services). Tính đến tháng 7/2025, hơn 15 triệu ETH đã được restake, với khoảng 30 AVS đang hoạt động hoặc trong giai đoạn testnet. Mô hình này tạo ra một lớp bảo mật dùng chung, nhưng cũng khuếch đại rủi ro: một lỗ hổng trong một AVS có thể dẫn đến mất mát hàng trăm triệu USD từ tiền gửi restake.
Cảnh báo của EigenLayer diễn ra sau khi một nhóm audit phát hiện ra lỗ hổng nghiêm trọng trong mã nguồn của hai AVS mới: một cho phép kẻ tấn công giả mạo chữ ký ngưỡng, một khác có backdoor ẩn trong hợp đồng cập nhật oracle. Cả hai AVS đều chưa được kích hoạt slashing, nhưng đã có TVL thử nghiệm lên tới 200.000 ETH.
Core
Tôi đã phân tích mã nguồn của cả hai AVS trong 48 giờ. Kết quả: lỗ hổng không phải do sơ suất – chúng có chủ đích.
AVS đầu tiên sử dụng một thư viện chữ ký tùy chỉnh thay vì ECDSA chuẩn, cho phép chèn tham số r,s không hợp lệ. Một cuộc tấn công có thể bỏ qua quá trình xác thực multisig, dẫn đến rút toàn bộ phần thưởng. AVS thứ hai có một hàm setOracle không kiểm tra msg.sender, cho phép bất kỳ ai cập nhật nguồn dữ liệu giá. Cả hai đều đã được deploy lên mainnet dưới dạng "test phase".
Điểm chung: cả hai đều được phát triển bởi cùng một đội ngũ – một nhóm từng có tiền sử về các dự án tấn công exit scam. EigenLayer biết điều này. Họ đã cho đội đó một cơ hội để tự vá lỗi trong 14 ngày.
Mọi hợp đồng thông minh đều có điểm mù. Điểm mù ở đây không phải code – mà là niềm tin. EigenLayer đặt cược rằng cảnh báo công khai sẽ buộc đội AVS phải hành động. Nhưng nếu họ không hành động?
Lịch sử audit của tôi cho thấy: các đội có tiền sử lừa đảo thường không sửa lỗi – họ chờ. Họ chờ thị trường quên, hoặc chờ cơ hội rút tiền. Cảnh báo của EigenLayer có thể vô tình tạo ra một "deadline" cho kẻ tấn công: nếu không sửa trong 14 ngày, slashing sẽ kích hoạt, và họ sẽ mất quyền kiểm soát. Nhưng nếu biết mình sắp bị slashing, họ sẽ cố gắng rút tiền trước thời hạn.
Contrarian
Phe bò sẽ nói: "Đây là một tín hiệu mạnh mẽ về trách nhiệm giải trình. EigenLayer đang bảo vệ người dùng." Tôi đồng ý với 50% điều đó. Nhưng hãy nhìn từ góc độ của kẻ tấn công: cảnh báo công khai là một bản đồ chỉ đường. Nó cho họ biết chính xác EigenLayer sẽ hành động khi nào và như thế nào. Nếu tôi là hacker, tôi sẽ tăng tốc kế hoạch khai thác trước hạn chót 14 ngày, rút tiền và biến mất. Slashing sau đó chỉ là hình thức.
Cơ chế slashing của EigenLayer vẫn còn là một "black box" về mặt kỹ thuật. Họ chưa bao giờ thực hiện slashing thực tế. Quy trình quản trị để kích hoạt nó kéo dài 7 ngày, yêu cầu 2/3 đa số. Kẻ tấn công có thể exploit trong khi quản trị đang bỏ phiếu.
Takeaway
Cảnh báo của EigenLayer có thể là một con dao hai lưỡi. Nó tạo ra kỳ vọng về sự an toàn, nhưng lại tiết lộ điểm yếu trong cơ chế thực thi. Câu hỏi không phải là "Liệu AVS có sửa lỗi hay không", mà là "Liệu EigenLayer có đủ nhanh để slashing trước khi kẻ xấu rút tiền?".
Lỗ hổng không ngủ. Nhưng lần này, đồng hồ đang tích tắc, và người giữ chìa khóa vẫn còn do dự.
