Khi đề cập đến an ninh DeFi, phần lớn mọi người nghĩ đến các tin tức về bị hacker tấn công, mất tiền. Nhưng để thực sự hiểu tại sao những sự kiện này xảy ra liên tục, cần xem xét từ ba góc độ: công nghệ, mô hình kinh tế và thao tác của con người.

Khác với tài chính truyền thống, điểm mấu chốt của DeFi chủ yếu nằm ở hai chỗ: mã hợp đồng thông minh khi đã lên chuỗi thì không thể sửa đổi, và thiết kế kinh tế đằng sau giao thức có thực sự đủ mạnh để chịu đựng thử thách hay không.

**Lỗ hổng hợp đồng thông minh — nguồn chính của rủi ro DeFi**

Thiệt hại do lỗi kỹ thuật thường là lớn nhất. Trong các lỗi đó, nổi tiếng nhất chính là tấn công reentrancy (tấn công gọi lại).

Tấn công reentrancy nghe có vẻ phức tạp, thực ra nguyên lý không khó: một hợp đồng gọi hợp đồng bên ngoài trước, kết quả là chưa kịp cập nhật trạng thái (ví dụ như số dư tài khoản), kẻ tấn công lợi dụng khoảng trống này để liên tục gọi hợp đồng gốc, rút hết vốn khỏi quỹ. Vụ hack nổi tiếng của The DAO chính là xảy ra theo cách này, thiệt hại hơn 50 triệu USD.

Nhưng còn khó phòng ngừa hơn reentrancy chính là lỗi logic (Logic Bug). Đây không phải là lỗi cú pháp cấp thấp khi viết code, mà là các lỗ hổng trong thiết kế — quyền không phân quyền đúng, đầu vào không kiểm tra kỹ, hoặc khi các giao thức phức tạp tương tác với nhau tạo ra những đường thực thi bất ngờ. Những vấn đề này rất khó phát hiện nếu không có kinh nghiệm kiểm toán sâu và kiểm thử áp lực toàn diện.

Vấn đề kiểm soát quyền hạn không đúng cách tưởng chừng đơn giản, nhưng đã khiến nhiều dự án DeFi gặp phải thất bại. Kẻ tấn công lợi dụng lỗ hổng quyền để thao tác trực tiếp các hàm cốt lõi, khiến đội ngũ dự án không phản ứng kịp.