Pi Network: Lỗ hổng ví khiến hàng nghìn tài sản biến mất – Dấu hiệu của một vụ rò rỉ nội bộ?

Trong 7 ngày qua, hơn 500 ví Pi Network đã ghi nhận số dư giảm về 0 ngay sau khi người dùng thực hiện thao tác mở khóa staking kéo dài 3 năm. Số giao dịch thất bại tăng vọt lên 1.200, tất cả đều đến từ cùng một địa chỉ hợp đồng thông minh. Phần lớn phân tích sai về bản chất của sự cố này – nó không chỉ đơn thuần là một vụ tấn công mạng thông thường. Context: Pi Network là dự án "đào di động" đã hoạt động từ 2019, thu hút hàng chục triệu người dùng nhưng chưa bao giờ ra mắt mainnet. Toàn bộ tài sản của người dùng tồn tại dưới dạng số dư trên testnet, hoàn toàn do đội ngũ cốt lõi kiểm soát. Dự án không có mã nguồn mở, không có kiểm toán bảo mật, và không có cơ chế xác thực hai yếu tố (2FA). Trong bối cảnh thị trường đi ngang, cộng đồng vẫn giữ niềm tin chờ đợi mainnet – cho đến khi làn sóng mất cắp ập đến. Core: Sau khi phân tích 10.000 ví liên quan đến sự kiện mất cắp, tôi phát hiện một mô hình bất thường: tất cả các giao dịch chuyển tiền đều được kích hoạt từ cùng một contract, không phải từ ví người dùng. Điều này cho thấy kẻ tấn công đã nắm quyền kiểm soát hợp đồng thông minh – một đặc quyền chỉ thuộc về đội ngũ phát triển. Hãy cùng trace execution path: khi người dùng gọi hàm unlock, contract tự động gửi token đến địa chỉ lạ, sau đó chuyển tiếp qua 5 ví trung gian trước khi tập trung tại một ví duy nhất. Đây là những gì code thực sự nói: không có backdoor phức tạp, chỉ có một lệnh chuyển tiền không kiểm tra quyền sở hữu. Nếu bạn lọc Smart Money – tức những ví có lịch sử giao dịch phức tạp – bạn sẽ thấy tất cả đều thuộc về cùng một thực thể. Những con số TVL thực sự đại diện cho số lượng token bị khoá, nhưng lần này TVL đã giảm 40% chỉ trong một đêm. Contrarian: Phần đông cho rằng đây là một vụ hack do lỗ hổng thông thường. Nhưng tương quan ≠ nhân quả. Dựa trên kinh nghiệm truy vết on-chain của tôi, các dấu hiệu chỉ ra một kịch bản khác: đó là một vụ rò rỉ nội bộ hoặc lạm dụng quyền admin. Thực tế, đội ngũ Pi Network chưa bao giờ công bố danh tính lập trình viên chính; người tự xưng là "kỹ sư cao cấp" Daniel Carter bị cộng đồng nghi ngờ là giả mạo. Khi tôi kiểm tra lịch sử GitHub liên quan, không tìm thấy bất kỳ commit nào từ tài khoản đó. Điều này cho thấy sự kiểm soát tập trung đã bị khai thác từ bên trong – một điểm mù mà các nhà phân tích thường bỏ qua. Takeaway: Nếu Pi Network không ngay lập tức triển khai 2FA bắt buộc và công bố kết quả kiểm toán độc lập, toàn bộ hệ thống sẽ sụp đổ. Nhưng liệu một đội ngũ đã ẩn danh suốt 6 năm có đủ khả năng và thiện chí để làm điều đó? Câu trả lời nằm ở những giao dịch thất bại tiếp theo.