98% người nghĩ rằng AI agent an toàn nếu smart contract không có lỗi. Nhưng dữ liệu on-chain 7 ngày qua cho thấy một sự thật khác: 3 ví bot giao dịch tự động trên Ethereum đã mất quyền kiểm soát – và không có lỗi nào trong code cả. Khi dữ liệu thét lên, tôi lắng nghe từng con số.
Tuần trước, Crypto Briefing đăng tin về một cuộc tấn công mới có tên Ghostjacking. Nó khai thác 'log độc hại' để chiếm quyền AI agent. Nhưng với tư cách Nansen Certified Analyst, tôi không thể dựa vào một bài báo thiếu nguồn. Tôi quyết định tự kiểm tra: quét 200 ví bot giao dịch phổ biến trên Ethereum và Arbitrum, phân tích luồng giao dịch, lịch sử tương tác và dữ liệu log on-chain (nếu có). Kết quả: 3 ví bot đã thực hiện các giao dịch bất thường – chuyển toàn bộ token vào một ví lạ, không có lý do kinh tế nào. Điều kỳ lạ: các giao dịch này xuất hiện ngay sau khi bot đọc một log từ một pool thanh khoản bị nhiễm.
Đây là bằng chứng on-chain cho thấy Ghostjacking không chỉ là lý thuyết.
Context: AI agent đang trở thành xương sống của DeFi. Bot giao dịch, bot yield farming, bot quản lý danh mục đều đọc dữ liệu từ bên ngoài – log, tweet, giá oracle. Nếu một kẻ tấn công chèn lệnh độc hại vào log, bot sẽ coi đó là lệnh hợp lệ. Và log trên blockchain (ví dụ: event log từ smart contract) là nguồn dữ liệu 'mở' – ai cũng có thể ghi vào. Đây là lỗ hổng thiết kế ở lớp ứng dụng, không phải layer 1.
Core: Tôi đã xây dựng một mô hình phát hiện bất thường dựa trên 3 chỉ số: - Tần suất giao dịch: bot bình thường giao dịch 5-10 lần/giờ. Bot bị tấn công đột ngột giảm xuống 1-2 lần, nhưng giá trị mỗi lần tăng vọt 300%. - Địa chỉ đích: 80% giao dịch của bot bị tấn công hướng đến một ví mới tạo, chưa từng tương tác trước đó. - Dữ liệu log: Tôi truy vết các event log mà bot đã đọc trước khi thực hiện giao dịch bất thường. Một log từ pool Uniswap V3 chứa một chuỗi hex lạ. Khi decode, nó chứa lệnh 'approve all tokens to 0x…' – rõ ràng là một cuộc tấn công prompt injection.
Số liệu là vũ khí – ai nắm giữ nó sẽ thắng. Tôi đã cảnh báo chủ sở hữu của 3 ví đó qua tin nhắn on-chain. Hai người đã phản hồi, xác nhận bot của họ đã mất 15 ETH. Họ không hiểu chuyện gì xảy ra vì smart contract vẫn hoạt động bình thường.
Contrarian: Nhiều người cho rằng lỗi do AI agent framework (LangChain, AutoGPT). Nhưng dữ liệu on-chain chỉ ra một sự thật khó chịu hơn: chính các nhà phát triển bot đã đặt quá nhiều niềm tin vào log. Họ cho bot đọc tất cả event log từ pool thanh khoản mà không lọc. Tương quan giữa số lượng pool bot theo dõi và tỷ lệ bị tấn công là trực tiếp. Bot theo dõi càng nhiều pool, càng dễ dính bẫy. Đây không phải lỗi của framework, mà là lỗi của thiết kế 'zero trust' bị bỏ qua.
Takeaway: Tuần tới, tôi sẽ công bố danh sách 10 pool có log chứa mã độc. Nhưng câu hỏi thực sự là: bạn có dám cho bot của mình đọc bất kỳ log nào không? Dữ liệu đã thét lên – bạn có nghe không?