Khi giá đánh dấu trở thành vũ khí: Phân tích rủi ro hệ thống của thị trường hợp đồng tương lai vĩnh cửu

Vào tháng 3 năm 2025, một đồng token ít được biết đến có khối lượng giao dịch hàng ngày dưới 2 triệu USD là JELLY, đã gây ra một cơn bão thanh lý trị giá hàng triệu USD trên một nền tảng giao dịch. Đây không phải là một cuộc tấn công hacker truyền thống, mà là một "cuộc tấn công tuân thủ" vào các quy tắc của hệ thống. Kẻ tấn công đã lợi dụng logic tính toán, quy trình thuật toán và cơ chế quản lý rủi ro công khai của nền tảng, tạo ra một "cuộc tấn công không mã" cực kỳ sát thương đối với thị trường và các nhà giao dịch. Giá đánh dấu, lẽ ra phải là "trung lập và an toàn" cho thị trường, trong sự kiện này đã trở thành một lưỡi dao.

Bài viết này sẽ phân tích sâu về rủi ro hệ thống của cơ chế giá đánh dấu trong thị trường hợp đồng tương lai vĩnh cửu của các đồng tiền ảo, và tiến hành hồi tưởng chi tiết về sự kiện tấn công Jelly-My-Jelly. Sự kiện này không chỉ làm lộ ra sự yếu kém cấu trúc trong thiết kế oracle, thuộc tính hai lưỡi của các pool thanh khoản đổi mới, mà còn phơi bày sự bất đối xứng nội tại trong bảo vệ vốn của người dùng của logic thanh lý hiện tại trong điều kiện thị trường cực đoan.

Phần 1: Nghịch lý cốt lõi của Hợp đồng tương lai vĩnh cửu - Cơ chế thanh lý nghiêng do cảm giác an toàn giả tạo

1.1 giá đánh dấu：một trò chơi đồng thuận tưởng là an toàn đã dẫn đến xu hướng thanh lý

Nguyên tắc cốt lõi của giá đánh dấu được xây dựng quanh cơ chế trung vị ba giá "giá chỉ số". Giá chỉ số được tính toán bằng cách trung bình có trọng số giá của tài sản trên nhiều nền tảng giao dịch giao ngay chính. Một cách tính toán giá đánh dấu điển hình như sau:

Giá đánh dấu = Trung vị (Giá1, Giá2, Giá giao dịch cuối )

Việc giới thiệu trung vị có ý nghĩa là loại bỏ các giá trị bất thường, nâng cao tính ổn định của giá cả. Tuy nhiên, tính an toàn của thiết kế này hoàn toàn dựa trên giả định rằng số lượng nguồn dữ liệu đầu vào đủ lớn, phân phối hợp lý, tính thanh khoản cao và khó bị thao túng phối hợp.

Tuy nhiên, trong thực tế, thị trường giao ngay của hầu hết các đồng tiền ảo rất yếu. Một khi kẻ tấn công có thể kiểm soát giá của một vài nền tảng có tính thanh khoản thấp, họ có thể "ô nhiễm" giá chỉ số, từ đó tiêm dữ liệu độc hại một cách hợp pháp vào giá đánh dấu thông qua công thức. Cuộc tấn công này có thể kích hoạt việc thanh lý đòn bẩy quy mô lớn với chi phí tối thiểu, gây ra hiệu ứng dây chuyền.

1.2 Công cụ thanh lý: lá chắn của nền tảng, cũng là lưỡi kiếm

Tiêu chuẩn kích hoạt cốt lõi của động cơ thanh lý là giá đánh dấu, chứ không phải giá giao dịch gần nhất của nền tảng. Điều này có nghĩa là, ngay cả khi giá giao dịch hiện tại chưa chạm đến đường thanh lý, chỉ cần giá đánh dấu "không nhìn thấy" đó đạt đến, thì thanh lý sẽ ngay lập tức được kích hoạt.

Điều cần phải cảnh giác hơn nữa là cơ chế "buộc thanh lý". Nhiều sàn giao dịch áp dụng các tham số thanh lý có tính bảo thủ để tránh rủi ro bị âm vốn. Khi bị buộc thanh lý, ngay cả khi giá thanh lý tốt hơn giá thực tế để lỗ về 0, nền tảng cũng thường không trả lại phần "lợi nhuận thanh lý" này, mà sẽ trực tiếp đưa vào quỹ bảo hiểm của nền tảng.

Cơ chế này đặc biệt phổ biến trong các tài sản có tính thanh khoản thấp. Để tự bảo vệ rủi ro, nền tảng sẽ điều chỉnh mức thanh lý trở nên bảo thủ hơn, do đó dễ dàng khiến vị thế bị "đóng trước" trong các biến động giá. Logic này là hợp lý, nhưng kết quả lại tạo ra sự lệch lạc tinh tế trong lợi ích của nền tảng và nhà giao dịch trong các tình huống cực đoan.

1.3 Giá đánh dấu của việc mất hiệu lực dẫn đến sự méo mó của động cơ thanh lý

Dưới xu hướng ghét thua lỗ trên nền tảng, sự biến động mạnh mẽ của giá chỉ số và giá đánh dấu càng làm gia tăng sự chuyển dịch trước (sau) của việc thanh lý cưỡng chế.

Lý thuyết giá đánh dấu cung cấp một chuẩn giá công bằng, chống thao túng thông qua việc tổng hợp dữ liệu từ nhiều nguồn và thuật toán trung bình. Tuy nhiên, lý thuyết này có thể đúng khi áp dụng cho các tài sản chính thống có tính thanh khoản cao, nhưng sẽ gặp phải những thách thức nghiêm trọng về hiệu quả khi đối mặt với các đồng tiền ảo có tính thanh khoản thấp và tập trung giao dịch.

Đối với hầu hết các đồng tiền ảo, độ sâu giao dịch và số lượng sàn giao dịch niêm yết đều rất hạn chế, điều này khiến cho chỉ số giá của chúng dễ rơi vào cái bẫy "tập dữ liệu nhỏ". Do đó, cảm giác an toàn mà "chỉ số đa nguồn" mà các sàn giao dịch tuyên bố mang lại, thường chỉ là một ảo giác trong thế giới tiền ảo. Nhiều khi, giá giao dịch gần nhất thường được xem là bằng giá đánh dấu.

Phần hai: Nghịch lý của oracle - Khi tính thanh khoản của thị trường giao ngay cạn kiệt trở thành vũ khí

2.1 Oracle: Cầu nối yếu giữa chuỗi và ngoài chuỗi

Giá dự đoán là một hệ thống trung gian, có trách nhiệm truyền tải dữ liệu ngoài chuỗi một cách an toàn và đáng tin cậy lên chuỗi, cung cấp thông tin "thế giới thực" cho việc vận hành của hợp đồng thông minh. Tuy nhiên, một "dự đoán trung thực" không có nghĩa là nó báo cáo giá "hợp lý". Trách nhiệm của dự đoán chỉ là ghi lại trung thực trạng thái của thế giới bên ngoài mà nó có thể quan sát, nó không đánh giá giá có sai lệch với cơ bản hay không.

Đặc điểm này tiết lộ hai loại con đường tấn công hoàn toàn khác nhau:

1. Tấn công oracle: Kẻ tấn công sử dụng phương tiện kỹ thuật để làm sai lệch nguồn dữ liệu hoặc giao thức của oracle, khiến nó báo cáo giá không chính xác.

2. Thao túng thị trường: Kẻ tấn công thông qua việc thao tác thực tế trên thị trường bên ngoài, cố ý kéo giá lên hoặc hạ giá xuống, trong khi oracle hoạt động bình thường sẽ ghi lại và báo cáo chính xác "giá thị trường bị thao túng" này. Giao thức trên chuỗi không bị xâm nhập, nhưng do "ô nhiễm thông tin" mà tạo ra phản ứng không mong muốn.

2.2 Điểm tấn công: Khi sự thiếu hụt thanh khoản trở thành vũ khí

Cốt lõi của loại tấn công này là lợi dụng bất lợi về tính thanh khoản của tài sản mục tiêu trên thị trường giao ngay. Đối với những tài sản có khối lượng giao dịch thấp, ngay cả những đơn hàng nhỏ cũng có thể gây ra biến động giá mạnh, từ đó tạo cơ hội cho kẻ thao túng.

Phân tích đường tấn công: Năm bước xuyên thủng rào cản giao thức

1. Lựa chọn mục tiêu: Lọc các đồng tiền mục tiêu có thanh khoản yếu, dễ bị thao túng.

2. Huy động vốn: Thu hút vốn lớn tạm thời thông qua "vay nhanh".

3. Thị trường giao ngay chớp nhoáng: Trong thời gian rất ngắn, đồng thời đặt một lượng lớn lệnh mua trên tất cả các sàn giao dịch được giám sát bởi oracle.

4. Ô nhiễm oracle: Oracle đọc giá từ các sàn giao dịch bị thao túng, giá chỉ số thu được bị ô nhiễm nghiêm trọng.

5. Giá đánh dấu bị nhiễm: Giá chỉ số bị ô nhiễm vào nền tảng phái sinh, ảnh hưởng đến việc tính toán giá đánh dấu. Động cơ thanh lý đánh giá sai khoảng rủi ro, kích hoạt "thanh lý" quy mô lớn.

Kẻ tấn công có thể dựa vào cơ chế oracle công khai của nền tảng, trọng số nguồn dữ liệu, tần suất làm mới giá cả và các thông tin khác để tính toán chính xác số tiền cần đầu tư vào mỗi sàn giao dịch có tính thanh khoản yếu nhất, từ đó có thể làm sai lệch chỉ số trọng số cuối cùng một cách tối đa. "Kỹ thuật thuật toán" này khiến cho cuộc tấn công trở nên có thể kiểm soát, có thể dự đoán và giảm thiểu chi phí.

Phần ba: Săn lùng - Phân tích rủi ro cấu trúc của một nền tảng giao dịch nào đó

3.1 HLP金库：Nhà tạo lập thị trường và đối tác thanh toán được dân chủ hóa

Một trong những đổi mới cốt lõi của một nền tảng giao dịch là HLP金库 - một quỹ tiền tệ được quản lý thống nhất bởi giao thức, mang hai chức năng.

HLP đóng vai trò là nhà tạo lập thị trường chủ động của nền tảng, cho phép người dùng trong cộng đồng gửi USDC vào kho lưu trữ, tham gia vào chiến lược tạo lập thị trường tự động của nền tảng. Cơ chế tạo lập thị trường "dân chủ" này cho phép HLP liên tục cung cấp các bảng giá mua bán cho nhiều đồng tiền điện tử kém thanh khoản.

Tuy nhiên, HLP còn đảm nhận vai trò "hậu thuẫn dừng lỗ thanh lý" của nền tảng, tức là bên đối tác thanh lý cuối cùng. Khi vị thế đòn bẩy bị thanh lý cưỡng chế và không có đủ người thanh lý trong thị trường sẵn sàng tiếp nhận, giao thức sẽ tự động chuyển những vị thế rủi ro cao này sang kho HLP, và sẽ thu nhận theo giá của oracle.

Cơ chế này biến HLP thành một thực thể tiếp nhận có thể được sử dụng một cách xác định, hoàn toàn không có khả năng tự phán đoán. Khi kẻ tấn công triển khai chiến lược, họ hoàn toàn có thể dự đoán rằng "vị trí độc hại" của họ một khi kích hoạt thanh lý sẽ được ai tiếp nhận - không phải là một đối tác giao dịch ngẫu nhiên và không thể đoán trước trên thị trường, mà là một hệ thống tự động hóa thực thi logic hợp đồng thông minh, hoàn toàn hành động theo quy tắc: HLP vault.

3.2 Thiết kế cấu trúc của cơ chế thanh lý

Sự kiện Jelly-My-Jelly đã làm lộ ra một lỗ hổng chết người của nền tảng này trong điều kiện thị trường cực đoan, xuất phát từ cấu trúc tài chính và mô hình thanh lý bên trong kho HLP.

Trong khi cuộc tấn công xảy ra, không có cơ chế phân lập nghiêm ngặt giữa "quỹ dự trữ thanh lý" chuyên trách xử lý các vị thế bị thanh lý và các quỹ khác thực hiện các chiến lược như làm thị trường. Chúng chia sẻ cùng một tài sản thế chấp. Khi vị thế bán khống trị giá 4 triệu USD của kẻ tấn công bị thanh lý do giá đánh dấu tăng vọt, vị thế này được chuyển hoàn toàn tới quỹ dự trữ thanh lý. Khi giá JELLY tiếp tục tăng, khoản lỗ của vị thế này cũng tiếp tục mở rộng.

Kẻ tấn công chỉ cần kích hoạt việc thanh lý ( chủ động giảm bảo đảm), có thể "không bị gián đoạn" ném vị thế lỗ của mình cho người tiếp nhận trong hệ thống - Kho HLP. Kẻ tấn công hiểu rõ: Quy tắc của giao thức sẽ buộc HLP thực hiện việc tiếp nhận vào thời điểm giá không thuận lợi nhất, trở thành "người mua không điều kiện" của nó.

Theo lý thuyết, khi vị thế thua lỗ lớn đến mức đe dọa tính ổn định của hệ thống nền tảng, nên tự động kích hoạt cơ chế giảm vị thế tự động ADL, buộc người dùng có lợi nhuận ngược chiều phải giảm vị thế để chia sẻ rủi ro. Nhưng lần này, ADL không được kích hoạt.

Nguyên nhân là: Mặc dù quỹ dự trữ thanh lý đã rơi vào thua lỗ sâu, nhưng do nó có thể gọi vốn thế chấp từ các quỹ chiến lược khác trong toàn bộ kho HLP, hệ thống xác định "tình trạng sức khỏe tổng thể" của toàn bộ kho HLP vẫn tốt, do đó không kích hoạt cơ chế kiểm soát rủi ro. Thiết kế của cơ chế chia sẻ thế chấp này đã vô tình vượt qua rào cản rủi ro hệ thống ADL, khiến cho những tổn thất lẽ ra phải được thị trường chịu đựng, cuối cùng tập trung bùng phát trong kho HLP.

Phần bốn: Phân tích trường hợp - Tổng quan về cuộc tấn công Jelly-My-Jelly

Giai đoạn 4.1: Bố trí - Cái bẫy bán khống trị giá 4 triệu USD

Vào ngày 26 tháng 3 năm 2025, khi giá giao dịch JELLY dao động quanh mức 0,0095 đô la, kẻ tấn công bắt đầu thực hiện giai đoạn đầu tiên. Nhiều địa chỉ ví tham gia, trong đó địa chỉ 0xde96 là người thực hiện chính. Kẻ tấn công đã xây dựng một vị thế bán khống trị giá khoảng 4 triệu đô la trên thị trường hợp đồng tương lai vĩnh cửu của JELLY thông qua hình thức giao dịch tự mình, và kèm theo đó là tổng cộng 3 triệu đô la vị thế mua đối chọi. Mục đích của các giao dịch đối chọi này là để tối đa hóa OI hợp đồng mở chưa thanh lý, đồng thời tránh gây ra biến động bất thường trên thị trường, từ đó tạo nền tảng cho việc thao túng giá và thanh lý tiếp theo.

Giai đoạn 4.2: Tấn công - Cuộc chiến chớp nhoáng trên thị trường giao ngay

Sau khi bố trí hoàn tất, cuộc tấn công bước vào giai đoạn thứ hai: nhanh chóng đẩy giá giao dịch lên. Tổng giá trị thị trường của JELLY chỉ khoảng 15 triệu USD, sổ đặt hàng trên các sàn giao dịch chính vô cùng mỏng. Theo dữ liệu, độ sâu thị trường 1% của nó chỉ là 72.000 USD, thấp hơn nhiều so với các đồng tiền tương tự khác.

Kẻ tấn công đã lợi dụng điều này để đồng thời phát động cuộc tấn công mua vào trên nhiều sàn giao dịch. Do thiếu sự hỗ trợ từ bên bán, giá JELLY trên thị trường giao ngay đã nhanh chóng tăng vọt trong thời gian ngắn. Bắt đầu từ 0,008 đô la, chỉ trong vòng chưa đầy một giờ, giá đã tăng hơn 500%, đạt đỉnh 0,0517 đô la. Trong khi đó, khối lượng giao dịch cũng bùng nổ. Chỉ riêng một sàn giao dịch, doanh thu giao dịch JELLY trong ngày đã vượt qua 150 triệu đô la, lập kỷ lục mới.

Giai đoạn 3: Bùng nổ - Ô nhiễm oracle và thác thanh lý

Sự tăng vọt mạnh mẽ của giá giao ngay nhanh chóng được truyền tải đến hệ thống giá đánh dấu của nền tảng giao dịch này. Do những kẻ tấn công đồng bộ hành động tại các nguồn quan trọng này, giá chỉ số cuối cùng được tổng hợp đã bị ô nhiễm hiệu quả, dẫn đến sự gia tăng đồng bộ của giá đánh dấu trong nền tảng.

Giá đánh dấu tăng vọt đã trực tiếp kích hoạt vị thế bán khống mà kẻ tấn công đã triển khai trước đó. Khi khoản lỗ mở rộng, vị thế trị giá 4 triệu đô la này đã kích hoạt việc thanh lý cưỡng chế. Đây không phải là thất bại của cuộc tấn công, mà là phần cốt lõi trong thiết kế của cuộc tấn công.

Do HLP kho bạc là bên đối tác thanh toán của nền tảng, theo logic hợp đồng thông minh, nhận bàn giao mà không điều kiện, trong khi hệ thống thanh lý không kích hoạt cơ chế ADL để phân chia rủi ro, toàn bộ vị thế rủi ro cao trực tiếp đè nặng lên HLP. Nói cách khác, kẻ tấn công đã thành công trong việc "chuyển giao" tổn thất thanh lý của chính mình cho xã hội, khiến các nhà cung cấp thanh khoản của HLP phải gánh chịu hành động thao túng của hắn.

Giai đoạn 4.4: Dư chấn - Gỡ bỏ khẩn cấp và phản ánh thị trường

Nền tảng giao dịch này rơi vào hỗn loạn trong khi thị trường bên ngoài cũng xuất hiện phản ứng phức tạp. Trong vòng một giờ JELLY bị thao túng lên mức cao, hầu hết các sàn giao dịch chính thống khác gần như đồng loạt niêm yết Hợp đồng tương lai vĩnh cửu JELLY. Thị trường nhìn nhận hành động này như một sự "chớp lấy cơ hội" đối với đối thủ, làm gia tăng thêm sự biến động của JELLY, gián tiếp mở rộng H