Bài viết hậu trường về Secret đã được công bố. Câu chuyện thực sự: những người sửa đổi cây cầu đó không hiểu cách xác thực của chính nó hoạt động. Không bao giờ có chuyên gia độc lập nào được yêu cầu kiểm tra nó. Và trong ba năm, không một kẻ tấn công nào hiểu được nó. Cây cầu vẫn an toàn cho đến khi (theo tôi đoán) một AI cuối cùng đã đọc hợp đồng và phát hiện ra điều mà mọi con người đều bỏ lỡ. Sai lầm này, khi nhìn lại, gần như thật ngớ ngẩn. Hợp đồng ban đầu là một cây cầu ký quỹ, giống như quầy gửi áo khoác: nó chỉ trả lại áo khoác mà ai đó đã gửi trước đó, vì vậy câu hỏi “giao dịch này có thật không?” đã được trả lời miễn phí nhờ logic vé. Sau đó, nó được fork để tạo ra token Axelar thay vì vậy. Các token được tạo ra chưa bao giờ được gửi vào, nên logic vé không còn phù hợp và bị xóa bỏ. Người thực hiện việc đó không nhận ra rằng chính những chức năng này là thứ duy nhất xác minh giao dịch đến từ chuỗi nào. Danh sách cho phép thay thế chúng chỉ kiểm tra token nào có thể được tạo ra, chứ không bao giờ kiểm tra nguồn gốc của nó. Do đó, cánh cửa đã mở từ tháng 1 năm 2023. Sau đó, ai đó đã khởi tạo một chuỗi giả, đặt tên cho một tài sản thật như USDT, và tạo ra $4,67 triệu từ con số không. Bài học ở đây không thực sự nằm ở Secret. Trong ba năm, việc phát hiện ra lỗi này đòi hỏi một con người sẵn sàng đọc toàn bộ hợp đồng, nhưng chẳng ai làm vậy. Rào cản đó đã biến mất. Một AI có thể đọc toàn bộ hợp đồng một cách kỹ lưỡng chỉ với vài xu. Vì vậy, nếu hợp đồng của bạn là công khai và chưa từng được AI kiểm tra, hãy giả định rằng AI của kẻ tấn công đã đọc nó rồi. Hãy kiểm tra hợp đồng của bạn trước tiên.