Số 301Quản lý Giao tiếp

Cầu nối Ronin của Sky Mavis (Việt Nam, 2022): quyền ký thay không ai thu hồi và sáu ngày sau mới biết mất hơn 600 triệu USD

Sky Mavis — studio Việt Nam làm game Axie Infinity — bị tấn công cầu nối Ronin ngày 23/3/2022, mất khoảng 173.600 ETH và 25,5 triệu USDC. Một thoả thuận tạm thời cho phép ký thay đã kết thúc nhưng quyền truy cập không ai thu hồi, và công ty chỉ biết khi một người dùng không rút được tiền sáu ngày sau. Bài học về truyền thông khi bàn giao, kết thúc thoả thuận và phát hiện sự cố.

Nguyễn Thu Hà, PMP

20/11/2025

4 phút đọc 0

Bình luận0

Bối cảnh thực tế

Sky Mavis là studio Việt Nam phát triển Axie Infinity — game blockchain từng có lượng người chơi lớn ở Đông Nam Á — và Ronin, chuỗi khối phụ kết nối với Ethereum. Để rút tài sản qua cầu nối Ronin, cần chữ ký của 5 trên 9 nút xác thực (validator); Sky Mavis giữ 4 nút.

Theo Decrypt, TechCrunch và Wikipedia:

Tháng 11/2021, khi lượng giao dịch tăng mạnh, Axie DAO tạm cho phép Sky Mavis ký thay cho nút xác thực của DAO. Thoả thuận dừng từ tháng 12/2021, nhưng quyền truy cập trong danh sách cho phép không được thu hồi.
Kẻ tấn công lừa đảo (phishing) một nhân viên để vào hạ tầng Sky Mavis, lấy được 4 khoá của công ty và dùng quyền ký thay chưa thu hồi để có chữ ký thứ 5. Ngày 23/3/2022, chúng rút khoảng 173.600 ETH và 25,5 triệu USDC — khoảng 620 triệu USD theo giá lúc đó.
Sky Mavis chỉ phát hiện ngày 29/3/2022, khi một người dùng không rút được 5.000 ETH qua cầu nối. Công ty thừa nhận hệ thống theo dõi dòng tiền lớn rút khỏi cầu nối còn yếu.
Sky Mavis tạm dừng cầu nối, mời cơ quan thực thi pháp luật và chuyên gia phân tích chuỗi khối vào cuộc. Tháng 4/2022, FBI quy trách nhiệm cho nhóm Lazarus. Công ty gọi vốn 150 triệu USD do Binance dẫn đầu để bồi hoàn cho người dùng.

Phân tích nguyên nhân theo chuẩn PMP

Kết thúc thoả thuận mà không có thông báo đóng việc
Thoả thuận ký thay dừng nhưng không ai được giao trách nhiệm thu hồi quyền. Đây là lỗ hổng truyền thông khi đóng một công việc: thiếu danh sách kiểm tra đóng (closure checklist) và xác nhận hai bên rằng mọi quyền tạm thời đã được gỡ bỏ.
Thông tin quan trọng nằm ngoài kênh chính thức
Một ngoại lệ an ninh tạm thời giữa hai tổ chức (Sky Mavis và Axie DAO) cần được ghi vào sổ đăng ký thay đổi và nhật ký vấn đề (issue log). Khi chỉ tồn tại trong trao đổi không chính thức, nó dễ bị lãng quên.
Kênh phát hiện sự cố là người dùng, không phải hệ thống

Cầu nối Ronin của Sky Mavis (Việt Nam, 2022): quyền ký thay không ai thu hồi và sáu ngày sau mới biết mất hơn 600 triệu USD

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Kết thúc thoả thuận mà không có thông báo đóng việc

Thông tin quan trọng nằm ngoài kênh chính thức

Kênh phát hiện sự cố là người dùng, không phải hệ thống

Đánh đổi tốc độ lấy kiểm soát

Lẽ ra PM nên làm gì

Bước 1: Ghi mọi ngoại lệ tạm thời vào sổ có hạn chót và người chịu trách nhiệm

Bước 2: Danh sách kiểm tra khi kết thúc thoả thuận giữa các bên

Bước 3: Thiết lập ngưỡng cảnh báo và luồng báo cáo

Bước 4: Truyền thông minh bạch với cộng đồng sau sự cố

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Nếu là lãnh đạo Sky Mavis ngày 29/3/2022, sau khi phát hiện bị mất hơn 600 triệu USD, bạn chọn hướng nào?

Tình huống này hữu ích với bạn?

Bình luận (0)