374 ví, 16,1 triệu USD, và một giao thức chọn cách đóng cửa vĩnh viễn thay vì sửa chữa. Đó không phải kịch bản của một vụ rug pull, mà là hậu quả của một lỗ hổng tạo khóa (key generation) trong SecondFi, một giao thức DeFi chạy trên Cardano. Vụ tấn công xảy ra hồi tháng 6/2025, nhưng đến nay đội ngũ phát triển mới chính thức xác nhận sẽ không bao giờ hoạt động trở lại, đồng thời tiếp tục gia hạn chương trình treo thưởng truy tìm thủ phạm. Với cộng đồng tiền mã hóa Việt Nam – nơi nhiều người vẫn xem Cardano như một blockchain “an toàn tuyệt đối” nhờ cơ chế đồng thuận Ouroboros – vụ việc này giống như một cú sốc: sự an toàn của chain không cứu được một ứng dụng tự tay giao chìa khóa cho kẻ trộm.
SecondFi là một nền tảng DeFi chuyên cung cấp thanh khoản và cho vay trên Cardano, một trong những mảnh ghép kỳ vọng làm dày thêm hệ sinh thái. Vào tháng 6/2025, khoảng 1,61×10^8 ADA (tương đương 16,1 triệu USD theo thời điểm đó) bị rút khỏi 374 ví người dùng. Điểm đáng chú ý là không có giao dịch độc hại nào do người dùng ký, cũng không có hợp đồng thông minh nào bị khai thác theo nghĩa logic thông thường. Vấn đề nằm ở cách các ví được tạo ra. Công ty bảo mật Groom Lake sau đó công bố báo cáo cho thấy hành vi tấn công có nét tương đồng với Lazarus Group – nhóm hacker được cho là có liên kết với Triều Tiên. Tuy nhiên, sự quy kết này chưa được xác nhận chính thức, và trong giới phân tích, việc gắn nhãn Lazarus đang bị xem là một con dao hai lưỡi: nó vừa gây sức ép lên cơ quan thực thi pháp luật, nhưng cũng có thể làm lệch hướng điều tra.
Lỗ hổng tạo khóa – kẻ giết người thầm lặng
Trong hầu hết các ví tiền mã hóa, khóa riêng được sinh ra từ một hạt giống (seed) thông qua một thuật toán tất định. Nếu entropy – yếu tố ngẫu nhiên – bị yếu, hoặc thuật toán sinh khóa (RNG) có thể đoán trước, kẻ tấn công có thể tái tạo khóa của người dùng mà không cần bất kỳ tương tác nào. Với 374 ví bị ảnh hưởng cùng lúc, khả năng cao SecondFi đã dùng chung một quy trình tạo khóa cho toàn bộ người dùng. Đây không phải lỗi của Cardano, mà là lỗi của tầng ứng dụng. Nhưng hậu quả thì nghiêm trọng hơn một bug thông thường: người dùng mất tiền mà không hề làm gì sai, không ký nhầm, không cài malware, không ủy quyền cho hợp đồng độc hại. Với 374 ví bị xâm nhập cùng lúc – không phải do người dùng ký nhầm, mà do chính “cha đẻ” của chiếc ví đã bị đánh tráo.
Trong hệ sinh thái DeFi, có hai loại lỗi. Lỗi logic hợp đồng thông minh – như reentrancy hay access control – thường để lại dấu vết trên chuỗi và có thể vá bằng bản nâng cấp. Còn lỗi tạo khóa là lỗi “nguyên sinh”: nó tấn công vào gốc rễ của mô hình tin cậy. Tôi từng bỏ ra hai tháng để phân tích một multi-sig của Parity vào năm 2017 và tìm ra một lỗi có thể khiến kẻ tấn công chiếm quyền sở hữu ví. Lỗi đó vẫn còn cơ hội vá. Nhưng khi khóa đã bị lộ, không một bản vá nào có thể làm cho khóa cũ trở nên an toàn trở lại. Với SecondFi, nếu lỗi nằm ở entropy hoặc seed generation, toàn bộ các ví được tạo từ trước đến nay đều nằm trong tay kẻ tấn công.
Vì sao SecondFi chọn đóng cửa mà không trục vớt?
Đây là tín hiệu quan trọng nhất mà ít người chú ý: việc SecondFi chọn đóng cửa vĩnh viễn. Nếu vấn đề chỉ nằm ở một hợp đồng thông minh, đội ngũ có thể tạm dừng, nâng cấp và tiếp tục vận hành. Nhưng nếu toàn bộ hệ thống tạo khóa đã bị xâm phạm, thì mọi ví mới tạo ra sau đó đều có thể bị tái diễn. Việc đóng cửa vĩnh viễn cho thấy chi phí để xây dựng lại lòng tin là không thể chấp nhận, và số tài sản còn lại chỉ đủ để phục vụ việc bảo vệ và tương tác với các nạn nhân. Những ai đang nắm giữ token SecondFi nên hiểu rằng: thứ họ đang cầm gần như chắc chắn sẽ về 0. Đừng mua vào vì nghĩ đó là “cơ hội”. Không có đế chế nào được xây lại trên một nền móng đã vỡ đến tận gốc như vậy.
So với chuẩn mực ngành, nếu SecondFi sử dụng MPC (multi-party computation) hoặc HSM (hardware security module) để quản lý khóa, vụ việc có thể đã không xảy ra. Nhưng Cardano DeFi vẫn còn một khoảng trống rất lớn so với Ethereum trong việc áp dụng các tiêu chuẩn bảo mật tầng ví. Đây không phải chỉ trích riêng SecondFi, mà là cảnh báo với toàn bộ các dự án sinh ra trong bull run gần đây, khi tốc độ phát triển vượt xa khả năng kiểm toán. Trong lúc thị trường tăng, ai cũng chạy theo TVL, và việc quản lý khóa thường bị xem là chi tiết kỹ thuật khô khan, để lại cho “đám admin” giải quyết. Tôi đã gặp không ít dự án dùng chung một thư viện tạo khóa được copy từ một repo mã nguồn mở mà không ai đọc kỹ. Điều đó giống như việc tất cả mọi người cùng xây nhà trên một nền đất chưa được kiểm tra địa chất.
Điều khiến vụ việc này khác với những vụ hack DeFi điển hình là tốc độ phản ứng của đội ngũ. SecondFi không chạy trốn, họ công bố sự việc, ngừng hoạt động, và gia hạn bounty. Nhưng một quy trình bounty chỉ có ý nghĩa khi kẻ tấn công là một cá nhân có thể bị thuyết phục bởi tiền. Nếu thủ phạm thực sự là Lazarus, thì số tiền thưởng 1,6 triệu USD (thông thường 10% số tiền bị đánh cắp) chỉ là một trò đùa trước ngân sách của một quốc gia. Và nếu đây chỉ là một nhóm hacker cơ hội, họ có thể chấp nhận giữ toàn bộ số tiền thay vì trả lại để nhận một phần nhỏ. Do đó, bounty thường hoạt động trong các vụ “trộm cắp vặt” hoặc khi kẻ tấn công sợ bị lộ. Trong trường hợp này, nó gần như là một câu hỏi tu từ.
Góc nhìn ngược: Đừng vội đổ lỗi cho Lazarus
Điều đáng ngờ nhất trong vụ này không phải con số 16,1 triệu USD, mà là câu chuyện Lazarus Group. Groom Lake chỉ ra “sự tương đồng về kỹ thuật”, nhưng những tuyên bố kiểu này rất khó xác minh. Lịch sử cho thấy các kỹ thuật tấn công thường bị sao chép, và việc một nhóm hacker mới nổi học theo phong cách Lazarus cũng là điều bình thường. Nếu không có bằng chứng pháp y vững chắc, việc gắn mác “Triều Tiên” có thể là một cách để chuyển hướng chú ý khỏi những câu hỏi khó chịu: ai đã kiểm toán quy trình tạo khóa? Tại sao một giao thức có quy mô nhỏ lại không có một người giám sát mật mã học? Và tại sao các báo cáo audit không bao giờ được công bố công khai?
Tôi có xu hướng tin rằng các vụ hack lớn thường có một phần trách nhiệm từ phía đội ngũ phát triển. Không phải vì họ cố ý, mà vì họ không hiểu đủ sâu về mật mã. Khi sự việc xảy ra, việc gán cho một tổ chức tội phạm quốc tế là cách dễ dàng nhất để tránh né áp lực pháp lý. Lazarus là một giả thuyết, không phải một bản án. Và nếu là một bản án, hãy yêu cầu tòa án công bố toàn bộ chứng cứ.
Điểm mù thực sự nằm ở các dự án còn lại trong hệ sinh thái Cardano. Nếu lỗ hổng nằm ở một thư viện tạo khóa dùng chung, thì hàng chục dự án khác có thể đang ngồi trên một quả bom hẹn giờ. Nhưng cho đến nay, chưa có ai công bố kết quả kiểm tra lại. Các sàn giao dịch cũng giữ im lặng, vì họ không muốn gây hoảng loạn. Trong bối cảnh ấy, nhà đầu tư Việt Nam – vốn rất tích cực với Cardano – nên hỏi trực tiếp những dự án mình đang nắm giữ: “Anh đã kiểm toán khóa của anh chưa?” Nếu câu trả lời là “chưa” hoặc “không có”, hãy cân nhắc rút vốn trước khi vụ việc tiếp theo xảy ra.
Về tác động hệ sinh thái, vụ việc này sẽ làm chậm lại dòng tiền chảy vào Cardano DeFi trong ngắn hạn. Những dự án đầu tàu như Minswap hay Indigo có thể hưởng lợi từ sự dịch chuyển thanh khoản, nhưng cái giá phải trả là niềm tin tổng thể. Một điều thú vị: các nhà nghiên cứu bảo mật như Groom Lake sẽ trở thành người hùng trong mắt cộng đồng, và điều này có thể tạo ra một ngành công nghiệp phụ trợ mới cho Cardano – các dịch vụ giám sát chuỗi, phân tích pháp y, và kiểm toán chuyên sâu về mật mã. Đây chính là mặt tích cực duy nhất của một vụ việc tồi tệ: nó buộc cả hệ sinh thái phải trưởng thành.
Kết luận mở
SecondFi không còn nữa, nhưng bài học của nó vẫn đang đi tiếp. Nếu 374 ví có thể bị tái tạo khóa cùng lúc, thì rất có thể những ví khác trong Cardano cũng đang mang chung một điểm yếu. Trước khi đổ tiền vào bất kỳ giao thức nào, hãy hỏi về entropy, về MPC, về HSM, về quy trình tạo khóa. Một blockchain an toàn không có nghĩa là mọi thứ chạy trên nó đều an toàn. Sự an toàn là một lựa chọn, không phải một mặc định. Và khi một dự án đổ lỗi cho Lazarus, hãy tự hỏi: họ có đang giấu điều gì sau cái bóng của một đế chế tội phạm? Cardano có thể không trả lời, nhưng nhà đầu tư của chính bạn sẽ.