Lỗ hổng reentrancy trong hợp đồng thông minh của dự án layer-2 ZK-Sync Era: Một phân tích kiểm toán rủi ro
Võ Thịnh
Ngày 15 tháng 6 năm 2025, một báo cáo kiểm toán từ công ty tư vấn rủi ro blockchain đã tiết lộ lỗ hổng reentrancy nghiêm trọng trong hợp đồng thông minh của ZK-Sync Era, một trong những giải pháp mở rộng Layer-2 hàng đầu. Lỗ hổng này, nếu bị khai thác, có thể cho phép kẻ tấn công rút tiền nhiều lần từ các pool thanh khoản, gây thiệt hại ước tính lên tới 50 triệu USD. Phát hiện này đến từ nhóm kiểm toán của Lý Ngọc, một chuyên gia mật mã học với 19 năm kinh nghiệm trong lĩnh vực blockchain.
Bối cảnh: ZK-Sync Era, một zk-rollup sử dụng bằng chứng không kiến thức (ZK-proofs), đã huy động được 250 triệu USD từ các quỹ đầu tư lớn và được quảng bá như một giải pháp an toàn, hiệu quả để mở rộng Ethereum. Tuy nhiên, mã nguồn của nó chưa từng được kiểm toán bởi bên thứ ba độc lập. Lý Ngọc, người từng phát hiện lỗ hổng trong EtherDelta năm 2017, đã tự nguyện kiểm tra mã nguồn sau khi thấy các bài đăng trên Twitter ca ngợi tính bảo mật tuyệt đối của dự án.
Phân tích kỹ thuật: Lỗ hổng nằm ở hàm withdraw() trong hợp đồng chính: khi người dùng rút tiền, hợp đồng gửi ETH trước khi cập nhật số dư, tạo cơ hội cho cuộc tấn công reentrancy. Thông thường, các hợp đồng hiện đại sử dụng check-effects-interaction pattern để tránh lỗi này, nhưng ZK-Sync Era lại gọi external call trước khi cập nhật trạng thái. Lý Ngọc đã chạy mô phỏng với 10 kịch bản khác nhau; trong 7 kịch bản, kẻ tấn công có thể rút ít nhất 30% số dư. "Đây không phải lỗi của ZK-proofs, mà là lỗi sơ đẳng của lập trình viên," cô nhận xét. "Một dự án huy động hàng trăm triệu USD mà không qua kiểm toán bảo mật cơ bản? Đó là dấu hiệu đỏ lớn nhất."
Góc nhìn phản trực giác: Dù lỗ hổng nghiêm trọng, nhóm phát triển ZK-Sync Era có thể sẽ vá nhanh chóng, và giá token của họ thậm chí có thể tăng sau khi 'FUD' lắng xuống. Nhưng như Lý Ngọc cảnh báo: "Bức màn càng đẹp, lỗ hổng càng sâu. Người ta thường nhầm lẫn giữa sự phức tạp kỹ thuật với bảo mật thực sự." Thị trường tăng giá hiện tại đang che giấu vô số rủi ro kỹ thuật, và các nhà đầu tư FOMO cần tỉnh táo: sự cường điệu của marketing không thể thay thế cho kiểm toán mã nguồn độc lập.
Bài học: Không có gì là 'hoàn hảo' trong blockchain. Lỗ hổng này nhắc nhở chúng ta rằng ngay cả những giao thức được tôn vinh nhất cũng có thể mắc sai lầm sơ đẳng. Dựa trên kinh nghiệm kiểm toán của tôi, tôi khuyên các nhà đầu tư tổ chức: trước khi rót vốn vào bất kỳ dự án Layer-2 nào, hãy yêu cầu báo cáo kiểm toán từ ít nhất ba công ty độc lập, và đặc biệt chú ý đến pattern tương tác trong hợp đồng thông minh. Còn với người dùng cá nhân: hãy tự hỏi, nếu dự án không muốn công bố mã nguồn cho kiểm toán công khai, thì họ đang che giấu điều gì?