Flow vấp phản ứng dữ dội vì kế hoạch rollback sau vụ hack 3,9 triệu USD

Blockchain Flow dự kiến khởi động lại mạng sau khi các validator thống nhất hoàn nguyên lịch sử giao dịch về một checkpoint trước thời điểm xảy ra vụ hack trị giá khoảng 3,9 triệu USD vào tối thứ Sáu. Tuy nhiên, quyết định đảo ngược sổ cái mà không phối hợp trước với các đối tác then chốt trong hệ sinh thái đã nhanh chóng vấp phải làn sóng phản đối, đặc biệt từ các đơn vị vận hành cầu nối cross-chain.

Alex Smirnov, đồng sáng lập deBridge – một trong những nhà cung cấp cầu nối lớn hỗ trợ Flow – cho biết đội ngũ của ông không hề nhận được bất kỳ thông báo hay trao đổi nào trước khi Flow quyết định rollback. Trên mạng xã hội X, Smirnov khẳng định việc Flow cho rằng đã “đồng bộ bắt buộc với các đối tác hệ sinh thái” là không chính xác, và việc thiếu phối hợp này tiềm ẩn rủi ro nghiêm trọng cho toàn bộ mạng lưới.

Trao đổi sau đó, Smirnov cho biết Flow chỉ liên hệ với deBridge sau khi ông công khai chỉ trích, nhưng tại thời điểm đó vẫn nghiêng về phương án rollback. Mục tiêu chính của deBridge trong các cuộc thảo luận là làm rõ rollback có thể giải quyết vấn đề gì, trong khi kẻ tấn công đã chuyển tài sản ra khỏi Flow.

I woke up to the news about Flow’s decision to roll back the chain.

Despite Flow stating that they are “in a mandatory synchronization window with critical ecosystem partners (bridges, CEXs, DEXs)”, I can confirm that — … https://t.co/oVTPbKDMcl

— deAlex (@AlexSmirnov) December 28, 2025

Rollback hay hard fork?

Theo Smirnov, rollback ở giai đoạn này sẽ “trừng phạt nhầm đối tượng”. Ông cho rằng biện pháp này không gây ảnh hưởng đến hacker, mà ngược lại sẽ gây thiệt hại cho người dùng vô tội, các nhà cung cấp thanh khoản và đối tác hệ sinh thái đã giao dịch trung thực trong khoảng thời gian bị rollback, qua đó làm trầm trọng thêm tổn thất tổng thể.

Lo ngại này không chỉ đến từ các bridge. Smirnov tiết lộ một sàn giao dịch tập trung lớn niêm yết FLOW – nơi deBridge đã chủ động liên hệ – cũng xác nhận họ không hề được thông báo trước về kế hoạch rollback. Việc thiếu phối hợp này tạo ra sự mơ hồ trong xử lý tiền nạp và rút diễn ra trong khoảng thời gian rollback, khiến sàn có nguy cơ gánh chịu thua lỗ.

Trước tình hình đó, deBridge và LayerZero đã thống nhất thúc đẩy một hướng đi khác: triển khai hard fork để vá lỗ hổng cốt lõi và đưa vào danh sách đen các địa chỉ nhận tiền từ vụ khai thác, thay vì đảo ngược toàn bộ sổ cái. Smirnov nhấn mạnh đây là phương án khả thi duy nhất đối với các blockchain layer 1 khi đối mặt với sự cố tương tự, đồng thời dẫn lại cách BNB Chain từng xử lý một vụ việc trước đây.

Rủi ro hệ sinh thái và phản hồi từ Flow

Smirnov cho biết deBridge không chịu rủi ro tài chính trực tiếp nhờ thiết kế không lưu ký và không có TVL, nhưng mối quan ngại lớn hơn nằm ở nguy cơ tổn thất dây chuyền bị đẩy sang các đối tác, nhà cung cấp thanh khoản và người dùng không liên quan đến vụ tấn công. Ông kêu gọi Flow thiết lập một “war room” với sự tham gia của các cầu nối, đơn vị lưu ký tài sản, sàn giao dịch tập trung và các nhóm bảo mật để cùng thảo luận phương án tối ưu.

Trước đó, Flow Foundation cho biết họ đang gia hạn thời gian phối hợp với các đối tác nhằm tránh nguy cơ dữ liệu không đồng nhất hoặc gián đoạn dịch vụ nếu mạng hoạt động trở lại khi chưa được đồng bộ đầy đủ. Dù từng cam kết công bố bản cập nhật mới vào sáng Chủ nhật theo giờ PST, Flow đã lỡ hẹn. Trong thông báo sau đó, tổ chức này cho biết đang đánh giá cẩn trọng phản hồi từ các đối tác và sẽ cần thêm thời gian để đạt được sự đồng thuận rộng rãi trên toàn mạng lưới.

Diễn biến sự cố và tác động thị trường

Flow Foundation xác nhận vụ khai thác xảy ra ngày 27/12, xuất phát từ một lỗ hổng ở lớp thực thi của mạng. Theo các chuyên gia bảo mật, kẻ tấn công đã có thể “mint” token gốc FLOW cùng nhiều token được bridge như WBTC, WETH và stablecoin. Phân tích onchain cho thấy mô hình tấn công giống với việc lộ private key hơn là lỗi smart contract.

Trong kế hoạch khắc phục ban đầu, Flow dự kiến khôi phục mạng về checkpoint trước sự cố, đồng nghĩa toàn bộ giao dịch trong khoảng thời gian bị ảnh hưởng sẽ không được giữ lại và phải gửi lại. Báo cáo kỹ thuật chi tiết dự kiến được công bố trong vòng 72 giờ.

Sau khi thông tin khai thác được công bố, giá FLOW lao dốc hơn 40%, từ khoảng 0,17 USD xuống mức thấp 0,079 USD trước khi hồi phục quanh 0,09–0,1 USD. Một số sàn tại Hàn Quốc đã tạm ngừng nạp rút FLOW, đồng thời phát đi cảnh báo rủi ro giao dịch liên quan đến sự cố này.