Hai cầu liên chuỗi liên quan đến Ethereum lần lượt gặp sự cố chỉ trong vài giờ. Theo Tokenpost dẫn lại báo cáo của CryptoSlate, công ty bảo mật Blockaid đã phát hiện hành vi khai thác lỗ hổng của AFX vào khoảng 21:30 (UTC) ngày 22/7 — giao thức giao dịch phi tập trung này chạy trên Arbitrum, và cầu lưu ký USDC của nó bị rút mất 24,15 triệu USDC, các giao dịch liên quan được ghi nhận trên chuỗi Arbitrum; cùng thời điểm, cầu Verus–Ethereum cũng bị thiệt hại, hai sự cố cộng lại khoảng 31,69 triệu USD. Bên cạnh đó, B² Network tuyên bố tạm dừng staking token sau khi quyền nâng cấp hợp đồng staking bị truy cập trái phép. Điểm chung của cả ba sự việc: nơi xảy ra vấn đề không phải là bên phát hành stablecoin, mà là đoạn hạ tầng để tài sản “quá cảnh” giữa các chuỗi.
Góc nhìn biên tập: bị ảnh hưởng không phải là thẻ, mà là đoạn đường trước khi tới thẻ
Nói trước kết luận — loại sự cố này gần như không ảnh hưởng trực tiếp đến phần lớn người giữ thẻ ảo USDT. Số dư trong thẻ được lưu ký trong hệ thống tài khoản của bên phát hành, không đi qua hợp đồng của AFX hay B². Rủi ro thực sự nằm ở trước bước nạp tiền: để tiết kiệm phí, bạn rút USDT từ sàn giao dịch lên một chuỗi L2 nào đó, rồi dùng cầu của bên thứ ba để đổi sang chuỗi khác, cuối cùng mới nạp vào thẻ. Mỗi cây cầu trên đoạn đường này là một rủi ro hợp đồng độc lập.
Chia theo thói quen sử dụng, có ba nhóm người dùng:
- Người dùng chuyển khoản nội bộ trong sàn (kịch bản điển hình của các thẻ thuộc hệ sinh thái sàn như Bybit Card): tiền chuyển thẳng từ tài khoản giao ngay sang tài khoản thẻ, không qua on-chain, sự cố lần này không tạo thêm rủi ro nào.
- Người dùng nạp trực tiếp qua TRC20 / các chuỗi công khai phổ biến (biến thể Asia Elite của MPCard, cùng phần lớn thẻ U dạng tổng hợp): chuyển USDT thẳng từ ví đến địa chỉ chỉ định của bên phát hành, không qua cầu bên thứ ba, cũng không liên quan đến rủi ro này.
- Người dùng dùng L2 kết hợp cầu bên thứ ba để tiết kiệm phí: đây là nhóm duy nhất cần xem xét lại. Sau sự cố, thanh khoản USDC trên Arbitrum chịu áp lực ngắn hạn, trượt giá khi đổi chuỗi và thời gian chờ ở cầu đều có thể tăng lên.
Dự kiến theo mốc thời gian: trong vòng 7 ngày, một số ví tổng hợp và nhà cung cấp thẻ U có thể tạm thời siết kiểm soát rủi ro đối với kênh nạp qua Arbitrum và các cầu ít phổ biến, biểu hiện là chậm nhận tiền hoặc thông báo “chuỗi này tạm chưa hỗ trợ”; trong vòng 30 ngày, việc AFX có công bố báo cáo sự cố và phương án đền bù hay không, B² có khôi phục staking hay không, sẽ quyết định dòng vốn trong hệ sinh thái liên quan có quay lại hay không; trong vòng 90 ngày, nhiều khả năng các bên phát hành thẻ U lớn sẽ tiếp tục thu hẹp danh sách “chuỗi được hỗ trợ chính thức” — đây là xu hướng nhất quán sau mỗi sự cố cầu trong hai năm qua. Độc giả chưa nắm rõ cấu trúc dòng tiền của thẻ U có thể tham khảo trước phần về đường nạp tiền và ranh giới lưu ký trong bài Thẻ U là gì.
Đối chiếu lịch sử: giống Multichain 2023, không giống việc USDC mất neo năm 2023
Sự cố Multichain tháng 7/2023 là tham chiếu gần nhất — cũng là tình trạng khóa/quyền phía cầu bị mất kiểm soát, cũng khiến tài sản bắc cầu trên nhiều chuỗi tức thời mất khả năng thanh toán, các stablecoin bắc cầu trên những chuỗi như Fantom bị chiết khấu rõ rệt. Lần này, 24,15 triệu USDC của AFX là tài sản thật trong cầu lưu ký bị rút ra, bản chất rất giống Multichain: bản thân đơn vị phát hành không có vấn đề gì, vấn đề nằm ở “ai đang giữ hộ số tiền này cho bạn”.
Còn việc USDC mất neo vào tháng 3/2023 (sự kiện Silicon Valley Bank, USDC từng rơi xuống gần 0,87 USD) là một dạng rủi ro khác — vấn đề ở phía dự trữ, ảnh hưởng đồng thời tới mọi người nắm giữ, bất kể đi chuỗi nào. Năm đó, gần như mọi số dư thẻ