Vào ngày 11 tháng 6, trong Proof of Talk, hội nghị thượng đỉnh về Web3 và AI hàng đầu thế giới, Jason Jiang, Giám đốc kinh doanh của CertiK, đã được mời tham dự một cuộc thảo luận bàn tròn về "Xây dựng lòng tin trong các giao thức Web3", cùng với Oliver Quie, Giám đốc điều hành kiêm đồng sáng lập Innerworks, và Denis Ivanov, Giám đốc sản xuất của Hacken, để thảo luận về "Cách xây dựng lòng tin thực sự và bền vững cho các dự án Web3".

Khi "kiểm toán bảo mật" dần được đưa vào ngôn ngữ tiếp thị, làm thế nào các dự án Web3 có thể tránh được "rửa kiểm toán" và xây dựng lòng tin bảo mật cho tương lai?

Tại diễn đàn, Jason Jiang thẳng thắn tuyên bố rằng có một hiện tượng đáng kể "kiểm toán trắng" trong ngành hiện nay. Đó là, một số dự án tuyên bố "an toàn" chỉ bằng cách công bố báo cáo kiểm toán; bất kể tính kịp thời, phạm vi hoặc kết quả của báo cáo, báo cáo kiểm toán được sử dụng như một "huy hiệu an toàn".

Ông chỉ ra rằng ngay cả xác minh mã tĩnh tiêu chuẩn cao cũng chỉ là một phần của mô hình bảo mật. Nó là cần thiết, nhưng còn lâu mới đủ. Nhiều rủi ro thực sự xảy ra sau khi kiểm toán: ví dụ, các hợp đồng có thể nâng cấp có thể tạo ra các bề mặt tấn công mới sau khi kiểm toán, sai lệch so với cơ chế quản trị hoặc các chức năng quản lý do các tài khoản bên ngoài (EOA) kiểm soát, có thể khiến các giả định trong quá trình kiểm toán bị lỗi.

Ngoài ra, còn có những rủi ro vượt ra ngoài khả năng phân tích tĩnh: các yếu tố như oracle, cầu nối chuỗi chéo, thay đổi thanh khoản và khả năng kết hợp đều sẽ mang đến những sự phụ thuộc động mới.

Do đó, Jason Jiang nhấn mạnh: “Đã kiểm toán” không có nghĩa là “an toàn”.

Mô hình bảo mật theo mô-đun và thời gian thực của CertiK

Để giải quyết những thách thức này, Jason Jiang đã trình bày chi tiết về “cơ chế xác minh và tin cậy liên tục và có thể cấu thành” mà CertiK đang tích cực xây dựng và ủng hộ.

Đầu tiên, CertiK đang tích cực thúc đẩy việc thiết lập cơ chế chứng minh kiểm toán trên chuỗi. Nghĩa là, báo cáo kiểm toán được ký bằng mật mã và lưu trữ trên chuỗi, và được liên kết với hàm băm của mã bytecode cụ thể của hợp đồng. CertiK cam kết thúc đẩy cơ chế này trở thành tiêu chuẩn của ngành.

Thứ hai, đó là giám sát bảo mật theo thời gian thực và chấm điểm rủi ro. Thông qua nền tảng Skynet, CertiK có thể theo dõi động các hành vi tương tác hợp đồng (như các khoản vay nhanh, leo thang đặc quyền), hành vi kho lưu trữ, các điểm rủi ro quản trị DAO (như các đề xuất tiêm) và các biến động bất thường trong nền kinh tế mã thông báo. Những dữ liệu này có thể tạo ra các hồ sơ rủi ro theo thời gian thực và cung cấp cho người dùng phản hồi liên tục về trạng thái bảo mật.

Thứ ba là thiết lập quy trình xác minh liên tục. CertiK tích hợp kiểm tra bảo mật vào toàn bộ vòng đời phát triển (CI/CD). Điều này bao gồm thử nghiệm fuzz khác biệt khi mã thay đổi, sử dụng thử nghiệm mô hình tấn công mô phỏng (như robot MEV, tấn công sandwich) và kích hoạt quy trình kiểm toán mới khi xảy ra sự kiện quản trị hoặc nâng cấp.

Thứ tư, chúng tôi đang khám phá kiểm toán hỗ trợ AI và xác minh hợp tác. CertiK đang khám phá các mô hình AI để sàng lọc trước khi kiểm toán và xác định các mẫu phản diện trên quy mô lớn. Điều này sẽ cho phép các kiểm toán viên tập trung vào logic cốt lõi của giao thức, các kịch bản biên và phân tích ngữ cảnh giao thức, do đó đạt được "đảm bảo an ninh quy mô lớn thông qua sự hợp tác giữa con người và máy móc".

Thiết kế giao thức: Nền tảng kiến trúc của sự tin cậy

Khi nói về cách thiết kế giao thức ảnh hưởng đến lòng tin của người dùng, Jason Jiang chỉ ra thêm rằng nhiều rủi ro không đến từ lỗ hổng mã, mà từ các giả định về kiến trúc. Ông đặc biệt đề cập rằng các giả định không rõ ràng về quyền, quyền kiểm soát và cơ chế nâng cấp là những yếu tố quan trọng ảnh hưởng đến lòng tin.

Ông đã phân tích tác động cụ thể của một số vector thiết kế chính lên lòng tin:

Về khả năng nâng cấp và tính bất biến, nếu dự án cần duy trì khả năng nâng cấp, kiểm soát đa chữ ký nên là bắt buộc, kết hợp với cơ chế quản trị trên chuỗi có độ trễ thời gian. Đồng thời, cộng đồng nên được trao quyền phủ quyết rõ ràng. Điều này có thể ngăn chặn các quyền chính bị kiểm soát bởi một số ít tài khoản bên ngoài (EOA), do đó duy trì lời hứa về tính phi tập trung.

Về mặt mô-đun hóa và mã nguồn mở, các thành phần cốt lõi như thuật toán cốt lõi, quản lý kho bạc và mô-đun quản trị nên được tách biệt và thiết kế. Mỗi mô-đun nên hỗ trợ thử nghiệm và xác minh độc lập để giảm thiểu rủi ro do các phụ thuộc phức tạp gây ra. Các cơ chế bảo vệ lỗi minh bạch (như khóa thời gian, hợp đồng có thể tạm dừng và cơ chế cầu chì) cũng phải đi kèm với các quy trình khẩn cấp rõ ràng để ngăn chặn "quyền khẩn cấp" ẩn khỏi việc ghi đè các cơ chế này.

Cuối cùng, các hoạt động quản trị phải được thực hiện hoàn toàn trên chuỗi và có thể kiểm toán. Cần phải công bố rõ ràng: ai có quyền nâng cấp nào, quy trình nâng cấp hoạt động như thế nào và giới hạn thời gian được thiết lập như thế nào. Chỉ bằng cách này, hoạt động quản trị mới có thể thực sự được triển khai, thay vì chỉ dừng lại ở mức lý thuyết.

Công thức tin cậy của Web3: Tin cậy = Mã + Hành vi + Văn hóa + Tuân thủ

Đối mặt với những thách thức đặc biệt của Web3, một môi trường phi tập trung cao độ thiếu sự xác nhận danh tính, Jason Jiang đã đề xuất một công thức để xây dựng lòng tin: Lòng tin = Mã + Hành vi + Văn hóa + Tuân thủ.

Ông chỉ ra rằng sự tin tưởng mà các giao thức đạt được không chỉ phụ thuộc vào chất lượng của mã mà còn phụ thuộc vào các mô hình hành vi của dự án dưới áp lực. Trong số đó, một số hành động chính là rất quan trọng:

Đầu tiên, dự án phải triển khai và duy trì chương trình tiền thưởng lỗi. Cơ chế này có được tài trợ đầy đủ, phản hồi nhanh và hiệu quả trong thanh toán hay không phản ánh trực tiếp mức độ trưởng thành trong hoạt động và cam kết minh bạch và cởi mở của dự án.

Thứ hai, khi các sự cố bảo mật là không thể tránh khỏi, các dự án nên công bố các báo cáo phát lại minh bạch, chi tiết và nghiêm ngặt về mặt kỹ thuật. Các báo cáo nên giải thích nguyên nhân gốc rễ của các sự cố, thừa nhận rõ ràng các sai sót, đánh giá tác động và đề xuất các biện pháp cải thiện. Việc xử lý như vậy có thể xây dựng lòng tin của tổ chức ngay cả trong khủng hoảng.

Ngoài ra, các dự án cũng phải chứng minh được khả năng phục hồi của chúng theo thời gian. Điều này bao gồm khả năng chịu được những biến động mạnh của thị trường, phản ứng nhanh chóng và minh bạch với các mối đe dọa bảo mật và liên tục thích ứng với các cuộc tấn công mới. Jason Jiang kết luận: "Trong thế giới tiền điện tử, một năm tương đương với tám năm trong các ngành công nghiệp truyền thống. Một dự án đã hoạt động ổn định trong sáu năm tương đương với việc giành được sự tin tưởng trong nửa thế kỷ".

Cuộc thảo luận bàn tròn tại Hội nghị thượng đỉnh Proof of Talk đã quy tụ các chuyên gia bảo mật hàng đầu trong ngành. Những người tham gia đã nhất trí rằng để định hình lại nền tảng của sự tin cậy Web3 và thúc đẩy sự phát triển bền vững của nó, cần phải thực hiện hợp tác sâu rộng trên nhiều phương diện. Điều này bao gồm đổi mới công nghệ cơ bản, tối ưu hóa thiết kế giao thức và xác minh lâu dài về hành vi của dự án. Trong bối cảnh này, mô hình bảo mật theo mô-đun, thời gian thực của CertiK và sự ủng hộ của khuôn khổ tin cậy "mã + hành vi + văn hóa + tuân thủ" đã chỉ ra một hướng phát triển quan trọng cho ngành.

Là một công ty bảo mật Web3, CertiK đã thúc đẩy ngành công nghiệp này phát triển, chuyển từ “kiểm toán như bảo mật” sang “bảo mật như một dịch vụ”. CertiK sẽ tiếp tục cung cấp cho những người xây dựng Web3 một nền tảng đáng tin cậy, an toàn và minh bạch với các sản phẩm vòng đời đầy đủ, sự hợp tác cộng đồng và công nghệ AI.