2.85 tỷ còn mất! Circle không dám khóa, hacker cười rồi chạy trốn

Hacker chuyển 2.32 tỷ USDC từ Solana sang Ethereum, Circle nhìn như bất lực.

Không phải không thể khóa, mà là không dám khóa.

Chỉ cần khóa, có thể bị kiện đến phá sản.

Không khóa thì bị mắng là đồng lõa.

Thế nên bạn đoán xem, Circle chọn con đường nào?

Một vấn đề trị giá 2.85 tỷ

Rạng sáng Thứ Tư, giao thức Drift bị tấn công.

2.85 tỷ USD, trong nháy mắt biến mất.

Nhưng điều khiến tôi lạnh sống lưng thật sự không phải là hacker mạnh cỡ nào.

Mà là—Circle rõ ràng có khả năng đóng băng số tiền này, nhưng lại chọn không làm gì.

Bạn không nhìn nhầm đâu.

2.32 tỷ USDC, từ Solana thông qua giao thức cross-chain riêng của Circle là CCTP, hiên ngang bắc cầu sang Ethereum.

Toàn bộ quá trình minh bạch, toàn bộ có thể truy vết, toàn bộ…… không ai chặn lại.

Hacker chắc cũng ngớ người: Chỉ vậy thôi à?

Diễn biến sự việc: Không phải vấn đề kỹ thuật, mà là vấn đề pháp lý

Trước hết, tôi tóm tắt đơn giản xem chuyện gì đã xảy ra:

- Kẻ tấn công lợi dụng lỗ hổng của giao thức Drift (vấn đề ở tầng thị trường/oracle, không phải lỗi thuần túy từ mã nguồn)

- Lấy đi khoảng 7100 vạn USDC, rồi một loạt thao tác, chuyển phần lớn số tiền cướp được thành USDC

- Thông qua CCTP của Circle, chuyển 2.32 tỷ USDC từ Solana sang Ethereum

- Cả quá trình trơn tru như thể chuyển tiền trong ngân hàng nhà mình

Lúc này, thám tử trên chuỗi ZachXBT không ngồi yên được nữa. Vị “ông anh” này là Holmes của giới coin, ông ấy trực tiếp lên tiếng:

“Vì sao chúng ta còn phải xây dựng trên Circle? Một dự án TVL 9 con số gặp sự cố, các ông cứ thế mà ngồi im à?”

Nói ra bằng lời bình thường là: Tôi xây nhà trong nhà bạn, trộm đã tới, bạn có camera, có bảo vệ, có khóa, đủ hết rồi, mà bạn vẫn không động tay gì cả. Vậy thì tại sao tôi phải ở nhà bạn?

Circle không phải không thể đóng băng, mà là không dám đóng băng

Nhiều người không biết rằng USDC là stablecoin tập trung.

Circle có một “nút bấm hạt nhân” trong tay—chức năng danh sách đen. Chỉ cần họ muốn, họ có thể đóng băng USDC trong bất kỳ địa chỉ nào thành giấy vụn bất cứ lúc nào.

Vậy tại sao lần này lại không làm theo?

Vì pháp luật.

Phản hồi của Circle:

Chúng tôi là công ty tuân thủ. Không có lệnh của tòa án, không có yêu cầu thực thi của cơ quan chức năng, chúng tôi không thể đóng băng. Đây là pháp trị, đây là để bảo vệ quyền riêng tư của người dùng.

Nghe có vẻ đúng đắn quá, đúng không? Một pháp trị hay ho thật đấy.

Nhưng cố vấn pháp lý trưởng của Plume lại bổ sung một nhát dao: Ông ấy nói đúng. Nếu Circle không được ủy quyền mà tùy tiện đóng băng, lỡ đóng nhầm, hacker sẽ kiện ngược lại Circle, và Circle sẽ phải đền đến mức “mất sạch quần áo”.

Đó chính là hiện thực kỳ ảo bây giờ:

Bạn muốn Circle cứu bạn? Trước tiên phải có giấy triệu tập của tòa án.

Có giấy triệu tập của tòa mất bao lâu? Vài ngày đến vài tuần.

Hacker chuyển tiền mất bao lâu? Vài phút.

Đơn vị thời gian của pháp luật là ngày, đơn vị thời gian của hacker là giây.

Bạn dùng vũ khí tốc độ theo từng giây để tấn công, lại trông chờ tấm khiên tốc độ theo từng ngày để phòng thủ—đây không phải phòng thủ, đây là cầu nguyện.

Không phải không muốn đóng băng, mà là không dám đóng băng. Không phải không dám đóng băng, mà là pháp luật chưa cho họ “quyền” có đủ can đảm đó.

USDC vừa muốn trở thành tiền tệ của cả Trái Đất, vừa ngay cả những kẻ xấu cũng không dám ngăn.

Giao thức phi tập trung bị hack, còn nhà phát hành tập trung thì giả chết.

Circle không nợ bạn công lý, Circle chỉ nợ tòa án một tờ giấy.

Bạn nói Circle là đồng phạm? Luật pháp nói bạn là kẻ “bàn phím”.

Mâu thuẫn sâu xa: USDC rốt cuộc là cái gì?

Chuyện này thật sự làm người ta khó chịu không phải vì Circle không hành động.

Mà vì tất cả chúng ta đều chưa làm rõ một câu hỏi: USDC rốt cuộc là gì?

- Nếu bạn nói nó là hạ tầng trung lập, thì không nên có bất kỳ can thiệp chủ động nào, dù thấy hacker.

- Nếu bạn nói nó là công cụ tài chính chịu quản lý, thì phải có quy tắc rõ ràng: trường hợp nào thì đóng băng, trường hợp nào thì không đóng băng, ai là người quyết định.

Nhưng hiện tại thì sao?

Mù mờ.

Người sáng lập Bluechip là Ben Levit nói một câu thật lòng:

Đây không chỉ là một vụ tấn công hacker thuần túy, mà còn giống như một sự kiện khai thác lỗ hổng ở tầng thị trường/oracle—thuộc vùng xám. Vì vậy mọi hành động của Circle đều trở thành quyết định mang tính phán đoán, chứ không phải quyết định dựa trên việc tuân thủ.

Dịch ra là: Ngay cả Circle cũng không biết có nên khóa hay không.

Vì không ai nói cho họ tiêu chuẩn.

Tại sao chuyện này khiến bạn và tôi lo lắng?

Vì tiền của bạn và tôi cũng có thể đang trôi nổi trong vùng xám đó.

Hôm nay bạn khai thác trong DeFi, ngày mai giao thức bị hack, USDC bị chuyển đi.

Bạn trông chờ Circle ra tay?

Xin lỗi, họ phải chờ giấy triệu tập của tòa án trước.

Bạn nói vậy thì tôi đi tìm cơ quan thực thi?

Đợi khi bạn có lệnh của tòa, hacker đã kịp chuyển 2.32 tỷ qua 10 blockchain khác nhau bằng CCTP, đổi thành 10 loại coin khác nhau, rửa sạch còn gọn hơn cả ví của bạn.

Đây chính là tình hình hiện tại:

- Hacker thao tác theo từng giây

- Pháp luật phản ứng theo từng tuần

- Circle không dám hành động

Ai đúng ai sai? Thực ra đều sai, mà cũng đều không sai

ZachXBT mắng Circle có lý—tại sao có công cụ mà không dùng?

Circle không làm gì cũng có lý—tôi không muốn dính vào kiện tụng.

Cơ quan quản lý không nói gì, càng hợp lý hơn— dù sao cũng chưa có người chết.

Nhưng cuối cùng, ai là người chịu thiệt nhất?

Là những người đã khóa tiền trong Drift. Là từng người tin rằng stablecoin + DeFi = tương lai.

Bạn nghĩ rằng công nghệ bảo vệ bạn?

Không, là pháp luật bảo vệ bạn.

Nhưng pháp luật lại quá chậm.

Bạn nghĩ Circle bảo vệ bạn?

Không, Circle chỉ bảo vệ chính Circle.

Một câu hỏi mà chẳng ai muốn trả lời

Bài viết này không phải để mắng Circle.

Cũng không phải để “trắng hóa” Circle.

Mà là để hỏi một câu hỏi mà mọi người đều tránh né:

Trong một thế giới crypto không có luật chơi thống nhất toàn cầu, không có cơ chế thực thi ngay lập tức, không có ranh giới trách nhiệm rõ ràng—vậy chúng ta dựa vào điều gì để tin rằng stablecoin tập trung có thể bảo vệ chúng ta?

Câu trả lời có thể là: Chúng ta không nên tin.

Chúng ta có thể làm được chỉ có 3 việc:

1. Nhận rõ thực tế: USDC không phải tổ chức từ thiện, đó là doanh nghiệp tuân thủ pháp luật được quản lý.

2. Phân tán rủi ro: Đừng đặt tất cả tài sản stablecoin vào cùng một chiếc giỏ.

3. Theo dõi sự thay đổi của quy định: Ngày nào lập pháp trao “bến đỗ an toàn” cho Circle, họ mới thực sự ra tay.

Cho đến lúc đó—

Đừng trách Circle không cứu bạn.

Họ còn không dám cứu chính mình.#Gate广场四月发帖挑战 $ETH $SOL