CertiK cảnh báo lỗ hổng liên quan bot "keeper" trong hệ thống thanh lý của MakerDAO

CertiK cho biết bộ phận bị ảnh hưởng là một bot "keeper" phục vụ cơ chế thanh lý của giao thức MakerDAO. Keeper bot là các chương trình tự động do bên thứ ba vận hành, theo dõi tỷ lệ thế chấp của các vault và kích hoạt thanh lý khi vị thế rơi xuống dưới ngưỡng yêu cầu. Đây là hạ tầng quan trọng, nhưng nằm ngoài các smart contract cốt lõi. Điểm cần phân biệt là việc keeper bot bị xâm phạm không đồng nghĩa mã nguồn cốt lõi của MakerDAO có lỗi. Dù vậy, rủi ro vận hành vẫn có thể rất nghiêm trọng: bot có thể bị thao túng để bỏ lỡ các đợt thanh lý, thực thi ở mức giá bất lợi, hoặc bị rút sạch tài sản trong ví vận hành mà bot sử dụng. CertiK trước đây từng cảnh báo bề mặt tấn công trong DeFi đang mở rộng nhanh qua lớp tự động hóa. CEO của hãng cũng lưu ý các cuộc tấn công DeFi có hỗ trợ AI đang khiến cuộc chơi ngày càng bất cân xứng cho phía phòng thủ. Keeper bot thường chạy tự trị và nắm giữ ví được nạp sẵn phí gas, vì vậy trở thành mục tiêu dễ bị nhắm đến. MakerDAO hiện duy trì cổng tiếp nhận công bố bảo mật tại security.makerdao.com, được xem là kênh chính thức cho mọi cập nhật sự cố. Nhà đầu tư và người dùng nên theo dõi trực tiếp nguồn này để cập nhật thông tin đã được xác nhận khi xuất hiện. Vì sao bot thanh lý là mục tiêu "giá trị cao" Trong cơ chế thế chấp của MakerDAO, các keeper bot cạnh tranh nhau để thanh lý vị thế thiếu tài sản bảo đảm và nhận phí thanh lý. Khi các bot này trục trặc hoặc bị thao túng, một số vault có thể không bị thanh lý kịp thời, khiến giao thức đối mặt nguy cơ phát sinh nợ xấu. Tình huống tương tự từng xảy ra trong các giai đoạn thị trường biến động mạnh, khi mạng lưới tắc nghẽn và thiếu keeper dẫn đến tổn thất thực tế cho giao thức. Các hướng khai thác keeper bot có thể gồm: rút ETH hoặc stablecoin trong số dư vận hành của bot, front-run các lệnh gọi thanh lý, hoặc lừa bot thực hiện giao dịch mang lợi ích cho kẻ tấn công thay vì cho giao thức. CertiK chưa xác nhận cụ thể vector nào (nếu có) đã được sử dụng trong báo cáo lần này. Rủi ro tự động hóa bên thứ ba không chỉ riêng MakerDAO. Trước đó, SlowMist từng gắn cờ lỗi FlashLoopAdapter khiến hai ví Safe bị rút tiền do khai thác hạ tầng ngoại vi, không phải logic hợp đồng cốt lõi, theo mô thức tương tự. Bề mặt tấn công của DeFi ngày càng nằm ở lớp tự động hóa bao quanh giao thức. Nhiều dự án đã trả giá đắt cho bài học này. Maya Protocol từng mất 1,7 triệu USD qua sáu lỗi riêng biệt, và THORChain được cho là chịu một vụ khai thác khoảng 10 triệu USD ảnh hưởng tới tài sản cross-chain, cho thấy mức độ liên thông và mong manh của hạ tầng DeFi khi các thành phần ngoại vi bị nhắm mục tiêu. Diễn biến cần theo dõi Cho đến khi CertiK công bố phân tích hậu sự cố (postmortem) đầy đủ hoặc đội ngũ bảo mật của MakerDAO đưa ra thông báo chính thức, phạm vi sự việc vẫn chưa được kiểm chứng. Hiện chưa có con số thiệt hại, ví bị ảnh hưởng hay mã băm giao dịch (transaction hash) nào được xác nhận từ các bằng chứng công khai. Điều rõ ràng là keeper bot không phải vấn đề "ngách". Đây là hạ tầng chịu tải của hệ thống. Nếu một keeper thanh lý thất bại trong lúc thị trường biến động mạnh, cơ chế bảo vệ khả năng thanh toán của giao thức sẽ suy yếu đúng thời điểm cần hoạt động nhất. Chính sự phụ thuộc mang tính hệ thống này khiến các cảnh báo dạng trên đáng được chú ý ngay cả khi bức tranh toàn cảnh chưa rõ. Câu hỏi đặt ra là liệu sự việc có thúc đẩy MakerDAO siết chặt yêu cầu với bot bên thứ ba, hay phơi bày khoảng trống rộng hơn trong cách các giao thức DeFi kiểm toán lớp tự động hóa đang vận hành xung quanh hợp đồng của họ. Tham khảo thêm: source document 1. Tuyên bố miễn trừ trách nhiệm: Nội dung chỉ nhằm cung cấp thông tin và không cấu thành lời khuyên tài chính hay đầu tư. Thị trường tiền mã hóa và tài sản số tiềm ẩn rủi ro đáng kể. Hãy tự nghiên cứu trước khi đưa ra quyết định.