14h23 phút. Một giao dịch bất thường xuất hiện trên mempool của Arbitrum. Chưa đầy 30 giây sau, một trong những vụ tấn công oracle lớn nhất năm 2025 bắt đầu. Ostium – một giao thức phái sinh đang nổi lên với lời hứa về thanh khoản sâu và phí giao dịch thấp – bất ngờ trở thành nạn nhân. 2.200.000 USD bị rút khỏi OLP vaults trong ba block. Giao thức lập tức tạm dừng mọi hoạt động. Nhưng sự thật thì không ai bất ngờ cả, ngoại trừ những người đã đầu tư vào OLP mà không bao giờ đọc dòng mã nguồn.
Ostium hoạt động trên Arbitrum, tập trung vào hợp đồng vĩnh viễn phi tập trung. Giống như GMX hay Gains Network, nó dựa vào một pool thanh khoản duy nhất (OLP) để hỗ trợ giao dịch với đòn bẩy. Điểm khác biệt duy nhất là Ostium tuyên bố có một công cụ oracle “thông minh” cho phép định giá nhanh hơn, rẻ hơn. Nhưng như chúng ta vừa thấy, “thông minh” đôi khi là cách gọi khác của “yếu ớt”.
Cốt lõi của vụ hack nằm ở cách Ostium thiết kế oracle của mình. Thay vì sử dụng nhiều nguồn dữ liệu độc lập và cơ chế trung bình trọng số (như Chainlink), họ dựa vào một single price feed duy nhất từ một sàn DEX có thanh khoản thấp. Kẻ tấn công chỉ cần thao túng giá trên DEX đó trong vài giây, tạo ra chênh lệch giữa giá on-chain và giá thị trường, sau đó mở các vị thế với đòn bẩy cao, hưởng lợi từ sự chênh lệch. Họ gọi đó là “sự kiện bất khả kháng”. Tôi gọi đó là “kết quả tất yếu của thiết kế lười biếng”.
Phân tích kỹ thuật cho thấy điểm yếu không chỉ nằm ở oracle. Một khi oracle bị thao túng, toàn bộ logic định giá của hợp đồng phái sinh sụp đổ. Lệnh thanh lý, phí funding, tỷ lệ ký quỹ – tất cả đều dựa trên một con số duy nhất. Và con số đó đã bị bóp méo. Dựa trên kinh nghiệm audit hơn 26 năm trong ngành, tôi chưa từng thấy một dự án nào có thiết kế oracle đơn giản đến mức nguy hiểm mà lại quản lý hơn 20 triệu USD thanh khoản. Điều này cho thấy hoặc không có audit bảo mật nào được thực hiện, hoặc audit đã bỏ qua layer oracle một cách có chủ đích. Đây là lỗi hệ thống, không phải lỗi của hacker.
Về mặt tokenomics, OLP đã chết. Khi 2,2 triệu USD bị rút khỏi pool, giá trị tài sản ròng (NAV) của mỗi OLP token giảm tương ứng. Nhưng tệ hơn, tâm lý hoảng loạn khiến người nắm giữ đổ xô bán OLP trên thị trường thứ cấp, đẩy giá xuống thấp hơn NAV – một vòng xoáy chết chóc. Bất kỳ ai giữ OLP sau vụ việc này cũng đang đối mặt với tổn thất vĩnh viễn 80-100%. Không có kịch bản phục hồi nào khả thi nếu đội ngũ không bơm thêm vốn (và họ sẽ không làm vậy).
Thị trường đang phản ứng theo cách dễ đoán. Các giao thức phái sinh cạnh tranh như GMX và Gains Network chứng kiến dòng tiền chảy vào trong 24 giờ đầu, khi người dùng tìm nơi trú ẩn an toàn. Nhưng điều này chỉ kéo dài vài ngày. Toàn bộ ngành DeFi phái sinh lại hứng chịu một đòn giáng mạnh vào niềm tin. Nhà đầu tư tổ chức, vốn đã e dè, càng có thêm lý do để tránh xa các giao thức non trẻ. Sự thật là, mỗi vụ hack oracle không chỉ giết chết dự án đó, mà còn làm chậm quá trình áp dụng của cả hệ sinh thái.
Góc nhìn phản trực giác mà ít ai nhắc tới: Kẻ thù thực sự không phải hacker. Hacker chỉ đơn giản là tận dụng một lỗ hổng đã tồn tại từ ngày đầu tiên. Kẻ thù thực sự là cộng đồng – những người đã chấp nhận một thiết kế oracle yếu kém vì lợi nhuận cao. Là các nhà đầu tư ban đầu – những người không yêu cầu audit bảo mật toàn diện. Là đội ngũ phát triển – những người ưu tiên tốc độ ra mắt hơn tính an toàn. Chúng ta đang sống trong một nền văn hóa mà 'ship fast' được tôn vinh, bất chấp hậu quả. Ostium chỉ là một trong hàng trăm vụ tương tự. Và nếu không thay đổi tư duy, nó sẽ không phải là vụ cuối cùng.
Cần nhấn mạnh: ngay lúc này, bất kỳ ai từng tương tác với hợp đồng Ostium cần ngay lập tức thu hồi phê duyệt (revoke approval) đối với tất cả token ERC-20. Lỗ hổng có thể không chỉ giới hạn ở oracle; nếu hacker có thể kiểm soát quyền truy cập thông qua phê duyệt, họ có thể rút sạch ví của người dùng. Đây là ưu tiên số một. Bỏ qua nó đồng nghĩa với việc chấp nhận rủi ro mất toàn bộ số dư.
Lần tới, khi bạn nhìn thấy một dự án hứa hẹn lợi nhuận cao với oracle 'độc quyền' hay 'thông minh', hãy nhớ đến Ostium. Hãy hỏi đội ngũ: 'Ai đang bảo vệ số tiền của bạn? Có bao nhiêu nguồn dữ liệu oracle? Cơ chế chống thao túng là gì?' Nếu câu trả lời mơ hồ, hãy rời đi. Bởi vì trong thế giới DeFi, kẻ thù không đến từ bên ngoài – nó luôn ẩn náu trong những dòng code mà bạn không bao giờ đọc.
