Vụ trộm kỳ lạ của AFX: Báo cáo kiểm toán đầy rẫy lỗ hổng, công ty đứng sau nghi ngờ là sàn giao dịch tiền điện tử Phemex

• tác giả: 谷昱, ChainCatcher *

Hôm nay, cầu nối chuỗi chéo của sàn giao dịch hợp đồng vĩnh viễn phi tập trung AFX đã bị tấn công bởi hacker, hơn 24 triệu đô la tài sản đã bị đánh cắp. Theo TVL được hiển thị từ Defillama, số tiền này tương đương với toàn bộ giao thức bị rút sạch.

Sau sự cố, AFX đã đăng bài trên X cho biết đang hợp tác chặt chẽ với các công ty an ninh hàng đầu, đối tác hệ sinh thái, sàn giao dịch và các cơ quan liên quan để theo dõi dòng tiền và hỗ trợ cuộc điều tra đang diễn ra.

I. Báo cáo kiểm toán đầy khiếm khuyết

Tuy nhiên, bài học đau thương của AFX dường như đã có dấu hiệu từ trước. Dự án chính thức ra mắt mạng chính vào tháng 5 và công bố báo cáo kiểm toán vào ngày 3 tháng 6. Sau sự kiện bị đánh cắp hôm nay, nhiều chuyên gia an ninh đã phát hiện ra rằng báo cáo này có những vấn đề lớn.

Trong báo cáo đó, công ty kiểm toán an ninh Zellic cho biết đã phát hiện 11 vấn đề, trong đó có hai vấn đề chính, một vấn đề có ảnh hưởng cao và sáu vấn đề có ảnh hưởng trung bình.

"Xét rằng cuộc kiểm toán này chỉ bao gồm một phần các thành phần cấu thành giao thức cầu nối và thiếu sự bao phủ kiểm tra cho tất cả các đường an toàn quan trọng, điều này đặc biệt quan trọng. Điều này không chỉ hạn chế khả năng xác minh tính chính xác của chúng tôi mà còn hạn chế khả năng duy trì an toàn của AFX trong tương lai. Hơn nữa, một yếu tố quan trọng cần kiểm toán lại là chúng tôi không có khả năng chạy hoặc tương tác trong môi trường thực tế hoặc cục bộ vào thời điểm đó. Điều này đã hạn chế đáng kể khả năng xác minh chức năng, khám phá các tình huống biên và đánh giá hành vi hệ thống ngoài việc kiểm tra tĩnh." Zellic đã viết trong phần tóm tắt.

Theo tiết lộ của Zellic, mã mà họ có thể tiếp cận và xác minh chỉ bao phủ một phần các thành phần của giao thức cầu nối, không thể bao phủ toàn bộ quy trình tài sản chuỗi chéo, cũng không thể kiểm tra trong môi trường hoạt động thực tế. Điều này có nghĩa là, đối với các đường quan trọng nhất của cầu nối chuỗi chéo như quản lý tài sản, xác minh chữ ký, kiểm soát quyền truy cập, cơ quan kiểm toán thực sự không thể đưa ra kết luận đầy đủ.

Zellic cũng đặc biệt nhắc nhở rằng ngay cả khi bên dự án hoàn thành việc sửa lỗi theo báo cáo, cơ quan kiểm toán cũng không thể xác nhận rằng những sửa lỗi này đã được thực hiện đúng cách, càng không thể đảm bảo rằng trong quá trình sửa lỗi sẽ không xuất hiện lỗ hổng mới. Điều này có nghĩa là, báo cáo này thực sự không thể được coi là bằng chứng cho thấy giao thức cầu nối đã "an toàn", mà giống như một kết quả kiểm tra giai đoạn cho một phần mã.

Đối với cầu nối chuỗi chéo quản lý hàng chục triệu đô la tài sản, "phạm vi kiểm toán không đầy đủ" bản thân nó đã là một rủi ro. Khi cơ quan kiểm toán cũng không thể xác nhận ranh giới an toàn của toàn bộ hệ thống, người dùng thực sự cũng rất khó để đánh giá tính an toàn thực sự của giao thức.

Về vấn đề này, Giám đốc sản phẩm chính của MetaMask, người sáng lập MyEtherWallet và MyCrypto [Taylor Monahan](https://www.rootdata.com/zh/member/Taylor Monahan?k=MTEyMTI=) đã tweet rằng báo cáo kiểm toán của cầu nối chuỗi chéo AFX "rất đáng sợ", với nhiều vấn đề "đã được xác nhận" nhưng chưa được sửa chữa, và bày tỏ sự không hiểu đối với việc người dùng chuyển hơn 24 triệu đô la vào giao thức này.

"Báo cáo này lại mạnh mẽ chỉ ra một đội ngũ hoàn toàn không quan tâm đến việc chịu trách nhiệm cho 'hệ thống M của N không hoàn chỉnh'. Các tình huống biên chưa được xử lý? Không vấn đề gì. Thao tác thủ công với tài sản của người dùng? Không vấn đề gì. Hoàn toàn phụ thuộc vào sự can thiệp của đội ngũ để ngăn chặn bị cướp? Không vấn đề gì."

Taylor Monahan suy đoán rằng AFX rất có thể tất cả các trình xác thực và khóa đều nằm trên cùng một hệ thống, hoặc được kiểm soát bởi một người duy nhất.

II. Công ty mẹ nghi ngờ là Phemex

Phóng viên ChainCatcher đã nghiên cứu thêm về đội ngũ AFX và phát hiện rằng dự án dường như có mối liên hệ chặt chẽ với sàn giao dịch tiền điện tử Phemex, thậm chí Phemex rất có thể là công ty mẹ của nó.

Mối liên hệ giữa các thành viên trong đội ngũ là một trong những bằng chứng hỗ trợ. Giám đốc tăng trưởng AFX, Ken, có tài khoản X trước đây đã mô tả là "Head of Listing @phemex_official", tức là giám đốc niêm yết của Phemex, vị trí này là một trong những chức năng cốt lõi nhất của bất kỳ sàn giao dịch nào.

Một thành viên khác trong đội ngũ mà tài khoản X chính thức của AFX theo dõi là Damon, mặc dù không có nhiều thông tin công khai, nhưng tài khoản X của anh ta đã được tạo ra 4 tháng và theo dõi tài khoản AFX, cũng như đã theo dõi ít nhất ba thành viên trong đội ngũ của sàn giao dịch Phemex.

Ngoài ra, blog chính thức của sàn giao dịch Phemex cũng đã phát hành nhiều bài viết quảng bá giới thiệu AFX, chẳng hạn như "Unlock Your Strength: Discover Why AFX Protocol Transforms Lives", "The Philosophy of Anti-Fragility: Why AFX Protocol Matters", "Dive into the Multi-Asset Perps Revolution!", "Top 5 Perpetual DEXs to Watch in 2026", trong bài viết cuối cùng, sàn giao dịch AFX còn đứng đầu danh sách các Perp DEX khác như Hyperliquid.

Hiện tại, các bài viết trên đã bị xóa khỏi trang web chính thức của Phemex, nhưng khi tìm kiếm tiêu đề trên Google, các liên kết đến những bài viết này vẫn xuất hiện trong kết quả tìm kiếm.

Một bằng chứng liên kết khác là, chủ đề phong cách của logo của hai dự án cũng rất giống nhau, đều sử dụng màu sắc gradient từ xanh lá neon đến xanh lam, kết hợp với nền đen thuần, bầu không khí thị giác và định hướng màu sắc gần như đồng nhất, điều này cũng có thể phản ánh rằng cả hai có cùng một đội ngũ thiết kế.

Tổng hợp hồ sơ đội ngũ, quảng cáo lịch sử chính thức, thiết kế thương hiệu và dấu vết hoạt động công khai, có thể thấy AFX và Phemex có mối liên hệ vượt xa quan hệ đối tác hệ sinh thái thông thường.

Vấn đề "đáng sợ" nhất là, sàn giao dịch Phemex cũng đã từng bị đánh cắp hơn 70 triệu đô la vào tháng 1 năm 2025, khi đó các phân tích bên ngoài cho rằng rất có thể là do hacker Bắc Triều Tiên thực hiện. Khi đó, đội ngũ Phemex cho biết tài sản của người dùng sẽ không bị ảnh hưởng, nền tảng sẽ chịu trách nhiệm cho thiệt hại do sự cố này gây ra và nhanh chóng khôi phục quy trình rút tiền bình thường.

Trong thời gian ra mắt sản phẩm AFX, Phemex rõ ràng đã chuẩn bị sẵn sàng cho việc cách ly rủi ro, cả hai không có mối liên hệ công khai nào về thương hiệu, cổ phiếu và nhiều khía cạnh khác, nhưng vẫn không thể che giấu mối quan hệ chặt chẽ giữa hai bên.

Giờ đây, thảm kịch mất hàng chục triệu đô la lại một lần nữa diễn ra. Đây thực sự là hacker Bắc Triều Tiên tái diễn thủ đoạn cũ, hay là nội bộ sắp xếp để thu lợi, điều này vẫn cần dựa vào nhiều bằng chứng và phân tích hơn nữa.