Ngày 21 tháng 2 năm 2025, Bybit mất 1.5 tỷ USD từ một ví lạnh. Đám đông la ó: “Safe bị lỗi”, “multisig thất bại”. Nhưng tôi, sau khi tự deploy node Ethereum và kiểm tra từng dòng bytecode của giao dịch, thấy một câu chuyện khác. Hacker không khai thác lỗ hổng hợp đồng thông minh—họ khai thác quy trình ký của con người. Và điều đó còn nguy hiểm hơn.
Bybit là một trong những sàn giao dịch lớn nhất, với khối lượng giao dịch thường xuyên đứng top 3 toàn cầu. Họ sử dụng ví lạnh đa chữ ký (multisig) dựa trên Safe (trước đây là Gnosis Safe) – một giải pháp được hàng trăm dự án tin dùng. Vụ hack này đánh dấu lần đầu tiên một multisig an toàn bị thổi bay ở quy mô này. Nhưng thay vì đổ lỗi cho Safe, tôi nhìn vào bức tranh lớn hơn: Bybit đã vận hành một quy trình ký cho phép hacker giả mạo giao dịch hợp lệ.
Khi phân tích giao dịch hack trên Etherscan, tôi phát hiện điều kỳ lạ: signature hợp lệ từ 3 trên 5 signer, nhưng destination address là một hợp đồng lạ. Làm thế nào? Hacker đã chiếm quyền kiểm soát giao diện frontend mà các signer dùng để ký. Khi signer nhìn thấy một giao dịch chuyển 1 ETH để kiểm tra, họ ký; nhưng thực tế, backend đã gửi một payload khác tới multisig: chuyển toàn bộ quỹ. Lớp wrapper che giấu logic rò rỉ giá trị. Giao diện người dùng không phải là code; nó là một lớp wrapper che giấu ý định thực sự.
Tôi đã chứng kiến điều tương tự trong vụ rug pull NFT năm 2021—hacker dùng frontend giả để lừa người dùng ký approve. Nhưng ở cấp độ sàn giao dịch, việc này còn nghiêm trọng hơn: signer có quyền truy cập cao nhất. Họ không đọc raw transaction, họ chỉ click “Approve” trên UI. Đây là lỗi vận hành, không phải lỗi code. Safe vẫn an toàn, nhưng quy trình ký của Bybit thì không.
Điều trớ trêu: Bybit đã đầu tư hàng triệu USD vào bảo mật, audit bởi nhiều công ty lớn. Nhưng audit chỉ là ảnh chụp, không phải bảo vệ suốt đời. Họ không kiểm tra quy trình con người. Từ kinh nghiệm audit sàn giao dịch ETF năm 2024, tôi biết rằng lỗ hổng lớn nhất thường nằm ở khâu ký—khi signer dùng máy tính không an toàn, hoặc khi frontend bị nhiễm độc. Bybit đã mắc sai lầm tương tự.
Nhiều người cho rằng vụ hack này sẽ giết chết niềm tin vào multisig. Tôi cho rằng ngược lại: nó chứng minh multisig hoạt động đúng, nhưng con người thì không. Thử nghiệm trên mainnet là bản án cuối cùng. Nếu signer ký mù, bất kỳ giải pháp nào cũng vô dụng. Bài học: không bao giờ tin tưởng UI, phải đọc raw transaction hash. Đây là điều tôi đã học từ năm 2017 khi phát hiện ICO Ponzi—và nó vẫn đúng sau 8 năm.
Vậy, Bybit có thể làm gì? Họ cần triển khai hardware signing device hiển thị raw byte, yêu cầu signer xác nhận từng tham số. Họ cần kiểm tra frontend integrity mỗi lần ký. Họ cần giảm số lượng signer xuống còn 3, nhưng tăng threshold lên 3/3 thay vì 3/5. Nhưng tôi nghi ngờ họ sẽ làm vậy, vì nó làm chậm quy trình. Và sàn giao dịch luôn ưu tiên tốc độ hơn an toàn.
Câu hỏi cho bạn: Lần tới khi bạn thấy sàn giao dịch quảng cáo “multisig bảo mật tuyệt đối”, hãy tự hỏi: ai ký? Và họ có đọc raw transaction không? Nếu không, thì lớp wrapper đang che giấu rò rỉ giá trị.