Hook
Ngày 15/5, một NFT Marketplace hàng đầu với khối lượng giao dịch 12.000 ETH/tháng bất ngờ đóng cửa nâng cấp khẩn cấp. Nguyên nhân: một lỗ hổng trong hợp đồng royalty cho phép kẻ tấn công rút 450 ETH tiền bản quyền của nghệ sĩ – con số tôi đã cảnh báo từ ba năm trước khi kiểm tra ArtChain. Càng đi sâu vào layer mới, càng thấy rõ lớp sơn cũ đang bong.
Context
Năm 2021, khi NFT bùng nổ, tôi nhận lời kiểm tra marketplace “ArtChain” – dự án có TVL 50 triệu USD và khối lượng giao dịch 10.000 ETH/tháng. Lúc đó, hầu hết auditor tập trung vào DeFi, còn NFT bị coi là “sân chơi của nghệ thuật”, ít rủi ro tài chính. Nhưng tôi, với bản năng ISTJ, không thể bỏ qua một dòng code trong hàm tính royalty. Nó chỉ trả 50% số tiền đúng ra nghệ sĩ phải nhận. Khi tôi báo cáo, đội phát triển nói “không sao, vì floor price thấp”. Tôi khăng khăng sửa. Cuối cùng họ vá lỗi, và ước tính thiệt hại nếu không vá có thể lên tới 500 ETH trong một tháng giao dịch đỉnh điểm.
Bốn năm sau, lịch sử lặp lại. Marketplace mới gặp sự cố tương tự, nhưng lần này với quy mô lớn hơn. Điều này chứng minh: mỗi mô hình mới đều mang theo vết nứt từ quá khứ.
Core
Tôi tìm kiếm những điểm mù mà người khác bỏ qua. Trong NFT, điểm mù là logic royalty và metadata storage – hai khu vực tưởng chừng phi tài chính nhưng lại chứa lỗ hổng tài chính nghiêm trọng. Hãy nhìn vào mã nguồn của vụ hack gần đây:
function _transfer(address from, address to, uint256 tokenId) internal {
// ... transfer logic
uint256 royaltyAmount = salePrice * royaltyBPS / 10000;
// THIẾU: kiểm tra nếu người bán là chủ sở hữu thực sự
payable(ownerOf(tokenId)).transfer(royaltyAmount);
}Đoạn code trên cho phép bất kỳ ai gọi hàm transfer với salePrice tự định nghĩa, và ownerOf(tokenId) sẽ nhận được tiền. Kẻ tấn công có thể tạo hợp đồng giả mạo, gọi transfer với token ID không tồn tại, khiến ownerOf trả về địa chỉ của chính họ. Kết quả: họ rút tiền từ pool royalty nhiều lần.
Đây không phải lỗi mới. Năm 2017, tôi phát hiện lỗi reentrancy trong hợp đồng ICO TokenHub – nơi hàm withdraw không cập nhật số dư trước khi gọi call.value()(). Bản chất cùng là thiếu kiểm tra trạng thái trước khi chuyển tài sản. Từ DeFi sang NFT, bản chất rủi ro vẫn không đổi.
So sánh hai lĩnh vực:
| Yếu tố | DeFi (LendFlow 2020) | NFT (ArtChain 2021) | |--------|----------------------|----------------------| | Lỗi cốt lõi | Oracle giá Uniswap v2 dễ thao túng | Royalty tính trên giá do người dùng nhập | | TVL bị đe dọa | 50 triệu USD | 10.000 ETH (~30 triệu USD) | | Thiệt hại tiềm năng | 2 triệu USD | 500 ETH (~1.5 triệu USD) | | Nguyên nhân gốc | Tin tưởng nguồn dữ liệu không xác thực | Tin tưởng tham số đầu vào không xác thực | | Giải pháp | Dùng Chainlink làm nguồn dự phòng | Xác thực salePrice qua oracle floor price |
Con số 450 ETH bị đánh cắp tuần trước tương ứng với 30% lỗi royalty của ArtChain. Điều này cho thấy: dù đã có bài học, các dự án NFT vẫn lặp lại sai lầm DeFi. Tôi từng nói trong báo cáo StableYield 2022: “Khung kiểm toán không được tùy chỉnh theo từng mảng, vì lỗ hổng không biến mất, chúng chỉ thay đổi hình dạng.”
Contrarian
Nhiều người cho rằng NFT an toàn hơn DeFi vì không liên quan đến pool thanh khoản phức tạp. Quan điểm này sai lầm về mặt hệ thống. Thực tế, NFT còn nguy hiểm hơn ở một khía cạnh: tính phi tập trung của metadata. Năm 2021, tôi phát hiện 4 lỗi khác trong ArtChain liên quan đến lưu trữ metadata ngoài on-chain. Nếu metadata bị tấn công, toàn bộ NFT có thể trở thành ảnh JPEG vô giá trị, nhưng không ai audit kỹ phần này vì nghĩ nó “không phải tài chính”. Điểm mù chính là tích hợp nhiều layer kỹ thuật (IPFS, HTTP gateway, contract royalty) tạo ra bề mặt tấn công rộng hơn DeFi thuần túy.
Một góc nhìn phản trực giác khác: NFT marketplace có rủi ro thanh khoản tương tự DeFi lending. Khi người dùng stake NFT vào pool để kiếm phí, họ thực chất đang cung cấp thanh khoản. Nếu hợp đồng royalty bị khai thác, pool có thể bị rút sạch. Năm 2022, StableYield – một dự án DeFi – suýt sụp đổ vì lỗi mint/burn cho phép mint token mà không cần collateral. Cơ chế tương tự có thể áp dụng trong NFT farming: mint NFT giả rồi rút reward. Tôi đã đề xuất quy trình kiểm tra thống nhất cho cả hai lĩnh vực trong AuditFramework v2 (2025), nhưng thị trường vẫn ngần ngại.
Takeaway
450 ETH không phải con số lớn so với 80 triệu USD TVL của StableYield, nhưng nó là tín hiệu cảnh báo: khi ETF được phê duyệt, tổ chức tài chính lớn gia nhập, họ sẽ yêu cầu audit toàn diện mọi layer. Liệu các auditor có sẵn sàng nhìn nhận rằng DeFi và NFT chỉ là hai mặt của cùng một đồng xu rủi ro? Hay chúng ta lại chờ vết nứt lớn hơn để hành động?
Dựa trên kinh nghiệm audit của tôi, tôi tin rằng chuẩn hóa audit là cách duy nhất. Nếu không, mỗi mô hình mới sẽ lại mang theo vết nứt từ quá khứ – và lần sau, nó có thể phá hủy toàn bộ cấu trúc.