Tôi mất ba ngày để tìm ra một lỗi re-entrancy trong hợp đồng phân phối token của dự án Status năm 2017. Nó nhỏ – chỉ một dòng code gọi external contract trước khi cập nhật balance. Nhưng nó có thể làm sập ICO. Sau đó, tôi thấy một lỗi lớn hơn nhiều vào tuần trước: không phải trong smart contract, mà trong cơ sở hạ tầng năng lượng của thế giới thực. Ngày 25 tháng 7, một vụ tấn công đã đánh sập nhà máy lọc dầu Jizan của Saudi Aramco, công suất 400.000 thùng mỗi ngày. Sau đó 30 phút, giá dầu Brent nhích lên 0,8%. Nhưng với tôi, con số đó không quan trọng bằng cấu trúc lỗ hổng. Giống như smart contract, Jizan Refinery là một single point of failure. Và hầu hết mọi người đều bỏ qua nó. Smart contract architect: người xây cầu trên lửa. Lần này, cầu đã cháy.
Context: Jizan nằm ở phía tây nam Saudi Arabia, sát biên giới Yemen và bờ biển Red Sea. Nhà máy lọc dầu này xử lý khoảng 10% tổng công suất lọc dầu của Saudi. Nó vừa bị tấn công bởi – có lẽ – lực lượng Houthi từ Yemen, bằng drone hoặc tên lửa. Hậu quả: toàn bộ nhà máy dừng hoạt động, thiệt hại chưa được tiết lộ. Saudi Aramco tuyên bố sẽ khôi phục trong vòng ba tuần, tức là trước ngày 15 tháng 8. Báo cáo của IIR mà tôi đọc được phân tích sự kiện này qua bảy khía cạnh: quân sự, địa chính trị, công nghiệp quốc phòng, v.v. Nhưng nhìn từ góc nhìn của một người audit smart contract, tôi thấy một thứ quen thuộc: một mảnh hạ tầng tập trung dễ tổn thương, với giả định tin cậy mặc định rằng nó sẽ không bao giờ bị tấn công. Họ xây dựng toàn bộ chuỗi cung ứng năng lượng dựa trên một điểm. Giống như một dApp dùng một oracle duy nhất. Y2K đã dạy chúng ta điều đó, nhưng đường cong lãng quên vẫn còn dài.
Core: Phân tích Jizan Refinery qua khung audit smart contract.
Attack vector : Tấn công vật lý bằng drone hoặc tên lửa. Không có mã nguồn, nhưng hành vi giống hệt một cuộc tấn công re-entrancy: kẻ tấn công gọi hàm attack() khiến contract (nhà máy) gọi lại withdrawEnergy() trước khi cập nhật trạng thái safetyChecks. Kết quả: contract rỗng. Ở đây: nhà máy ngừng sản xuất. Vector này cho thấy khả năng phòng thủ thấp (không có modifier chống drone, không có multi-sig validation). Houthi đã khai thác một lỗ hổng zero-day trong hệ thống phòng không Saudi.
Single point of failure : Năng lực lọc dầu tập trung tại một địa điểm chiếm 10% tổng năng lực quốc gia. Nếu bạn audit một giao thức DeFi, bạn sẽ gắn cờ đỏ ngay lập tức. Không có sharding, không có cross-chain backup. Tôi nhớ lại bot yield farming của tôi năm 2020: tôi dùng một chiến lược lướt sóng trên Uniswap v2, chỉ dùng một pool duy nhất. Khi giá ETH sập, tôi mất 30% vốn vì impermanent loss. Đó là single point of failure do thiếu đa dạng hóa. Jizan cũng vậy, nhưng ở quy mô quốc gia.
Recovery time : 3 tuần. Trong smart contract, nếu bạn có một admin key và một upgrade mechanism, bạn có thể triển khai contract mới trong vài giờ. Ở đây, họ cần phải sửa chữa thiết bị vật lý, mua sắm linh kiện, và đảm bảo an ninh. Đây là bài học về "downtime" trong thế giới thực: không thể hard fork một cái tháp chưng cất. Theo báo cáo, Saudi Aramco có thể rút ngắn thời gian nhờ kinh nghiệm sửa chữa, nhưng vẫn cần 3 tuần. Con số này tương đối ngắn – cho thấy họ có kế hoạch dự phòng và inventory khẩn cấp. Tuy nhiên, nếu tấn công xảy ra ở nhiều nơi cùng lúc, recovery time sẽ thành vô hạn.
Economic impact : Nhà máy này chủ yếu sản xuất diesel, xăng và sản phẩm hóa dầu phục vụ thị trường nội địa và xuất khẩu sang châu Phi. Thiệt hại trực tiếp là 400.000 thùng/ngày. Với giá hiện tại khoảng 85 USD/thùng, doanh thu mất đi là 34 triệu USD mỗi ngày. Nếu kéo dài ba tuần → 714 triệu USD. Nhưng còn tác động gián tiếp: giá xăng tại Saudi có thể tăng, gây bất ổn xã hội; các hợp đồng tương lai dầu thô biến động; chi phí bảo hiểm hàng hải tăng. Trong crypto, nếu một sàn giao dịch bị hack mất 714 triệu USD, giá token của sàn sẽ giảm 20–40%. Ở đây, giá dầu chỉ nhích nhẹ vì thị trường biết Saudi có thể bù đắp từ các nhà máy khác. Nhưng nếu tấn công vào Ras Tanura (nhà máy lớn nhất thế giới, 550.000 bpd), thì chuyện khác. Đây là điểm tương đồng với DeFi: một pool thanh khoản bị drain có thể gây ra bank run ở các pool khác nếu không có insurance. Đó là lý do tôi luôn khuyên dùng Nexus Mutual farm: không phải là bảo hiểm, mà là một layer phòng thủ.
Geopolitical dependency : Jizan nằm gần Yemen, nơi Houthi đã tấn công Saudi nhiều lần. Không ai ngạc nhiên. Nhưng tại sao nó lại quan trọng với crypto? Vì năng lượng là chi phí đầu vào của mining (PoW). Một cuộc tấn công vào hạ tầng dầu mỏ có thể đẩy giá điện lên, giảm lợi nhuận của miner, và cuối cùng là giảm hash rate. Xa hơn, nó có thể đẩy giá dầu lên → lạm phát toàn cầu → Fed tăng lãi suất → risk-off → crypto giảm. Đây là một vector rất gián tiếp, nhưng tôi đã thấy nó năm 2022 khi chiến tranh Ukraine làm giá dầu tăng vọt, kéo theo crypto sập. Vì vậy, mỗi audit địa chính trị đều là một phần của risk model.
Contrarian: Hầu hết những người trong crypto cho rằng phi tập trung hóa sẽ bảo vệ họ khỏi rủi ro địa chính trị. Họ nói: "Bitcoin không biên giới, không thể bị tấn công." Điều đó đúng về mặt giao thức – bạn có thể chạy node trên Raspberry Pi ở bất kỳ đâu. Nhưng thực tế, hạ tầng crypto phụ thuộc vào các trung tâm dữ liệu, cáp quang, và lưới điện. Nếu một cuộc tấn công tương tự vào trạm biến áp Texas (như năm 2021) xảy ra đồng loạt, các pool mining ở Bắc Mỹ có thể tê liệt. Một đợt tấn công cyber-physical có thể tắt internet ở một khu vực. Crypto vẫn sống, nhưng giao dịch sẽ chậm, giá sẽ biến động mạnh. Đây là điểm mù của cộng đồng: họ tập trung vào bảo mật smart contract nhưng quên bảo mật vật lý của các node và miner. Tôi đã từng audit một dự án NFT với backend hoàn toàn trên máy chủ AWS tập trung. Họ nói "chúng tôi phi tập trung vì dùng IPFS". Tôi chỉ chỉ vào DNS của họ. Vậy nên, nhìn vào Jizan, tôi thấy cảnh báo cho tất cả các dự án: hãy xem xét các single point of failure trong hạ tầng của bạn, không chỉ trong code. Audit không phải là bảo hiểm; nó chỉ cho bạn biết lỗ hổng ở đâu. Việc sửa lỗi cần hành động thực tế.
Takeaway: Jizan Refinery sẽ hoạt động trở lại vào ngày 15 tháng 8, hoặc muộn hơn. Nhưng bài học thì ở lại: trong một thế giới kết nối, một điểm yếu duy nhất có thể gây ra hiệu ứng domino. Tôi đã chứng kiến 2017 dạy tôi: đừng bao giờ tin vào whitepaper; hãy audit từng dòng code. Bây giờ, tôi nói: đừng bao giờ tin vào một nguồn năng lượng duy nhất; hãy đa dạng hóa hạ tầng. Nếu bạn đang xây một cầu trên lửa, hãy chắc chắn rằng bạn có nhiều hơn một cầu. Và nếu bạn đang hold crypto, hãy hỏi: liệu cái pool mà bạn farm có nằm trên một server duy nhất không? Liệu mining pool của bạn có dùng điện từ một nhà máy dầu dễ bị tấn công không? Câu trả lời có thể làm bạn tỉnh ngộ.
