Gần đây tôi đã xem bộ phim mới được đánh giá cao của Thành Long "Chasing Shadows". Có một cảnh thú vị trong phim - hàng chục tỷ đô la Hồng Kông dưới dạng tài sản mã hóa được khóa trong một ví ghi nhớ 12 chữ, và cái kết chỉ là từ cuối cùng không rõ nghĩa.

Sau khi đọc xong, tôi đã thử và phát hiện ra rằng chữ số thứ 10 và 12 không có trong từ điển ghi nhớ chuẩn. Rõ ràng là biên kịch đã cố tình viết như vậy để ngăn chặn việc mọi người lấy lại ví theo cốt truyện và thực hiện hành vi lừa đảo. Suy cho cùng, những vụ lừa đảo tương tự trên chuỗi này không phải là hiếm:

Kẻ lừa đảo sẽ cố tình tiết lộ địa chỉ ví có số dư (thường là trên chuỗi Tron, sử dụng cơ chế Chủ sở hữu) để lừa người dùng chuyển Gas và chờ tiền về. Một khi tiền đã được chuyển, chúng sẽ không bao giờ có thể lấy lại được.

Nhưng điều thú vị ở đây là bộ phim khẳng định chỉ thiếu từ cuối cùng. Thực tế, thuật nhớ tuân theo tiêu chuẩn BIP 39 , vốn chỉ có 2048 từ. Điều này có nghĩa là việc thử brute-force từ cuối cùng chỉ có 2048 giải pháp khả thi. Nếu chúng ta thu hẹp phạm vi hơn nữa, ví dụ, nếu chữ cái đầu là "es" như trong phim, thì khả năng còn ít hơn nữa, và chúng ta có thể hoàn thành chúng trong vòng chưa đầy một phút.

Tuy nhiên, câu hỏi quan trọng hơn cần xem xét lại ngoài bộ phim là: Mối quan hệ giữa thuật nhớ, khóa riêng và khóa công khai là gì? Tại sao mất thuật nhớ đồng nghĩa với việc mất hết tài sản?

1. Ghi nhớ: Khóa riêng: Khóa công khai/địa chỉ = "Móc khóa": "Khóa": "Số nhà"

Thuật nhớ là một phương pháp dự phòng tuân theo tiêu chuẩn BIP 39. Chúng bao gồm 12, 18 hoặc 24 từ được chọn ngẫu nhiên và kết hợp từ kho từ vựng gồm 2048 từ tiếng Anh thông qua một thuật toán.

Sau khi bộ ký tự ghi nhớ này được xử lý bởi thuật toán PBKDF 2, một hạt giống sẽ được tạo ra. Hạt giống này sau đó sẽ tạo ra một chuỗi khóa riêng theo các tiêu chuẩn đường dẫn như BIP 32/BIP 44, tương ứng với một chuỗi khóa công khai/địa chỉ.

Một tập hợp các ký hiệu ghi nhớ → tạo ra một loạt các khóa riêng → tạo ra một loạt các khóa công khai → tương ứng với một loạt các địa chỉ

nói cách khác:

• Thuật ngữ ghi nhớ = móc khóa, và thường có mối quan hệ một-nhiều với khóa riêng. Về lý thuyết, một tập hợp thuật ngữ ghi nhớ có thể tạo ra hàng nghìn khóa riêng.
• Khóa riêng = khóa, mỗi khóa riêng tương ứng với quyền sử dụng một địa chỉ;
• Khóa công khai/địa chỉ = số nhà, có thể công khai và người khác có thể sử dụng để chuyển tiền cho bạn;

Vì vậy, bạn có thể coi ký hiệu này như "móc khóa" của mình, và mỗi khóa riêng giống như một trong những chìa khóa có thể mở cửa, được dùng để ký và chứng minh quyền kiểm soát của bạn đối với địa chỉ ví - khi bạn bắt đầu giao dịch, bạn sử dụng khóa riêng để ký và thông báo cho toàn bộ mạng: "Giao dịch này được tôi ủy quyền."

2. Tôi có thể tự chọn cụm từ ghi nhớ của mình không?

Một số bạn có thể nghĩ: "Mình có thể tự nghĩ ra 12 từ không?" Ví dụ, sinh nhật, từ tiếng Anh yêu thích, tên thần tượng, v.v. Điều này sẽ khiến câu chuyện trở nên cá nhân hơn.

Câu trả lời là: Có, nhưng cực kỳ nguy hiểm.

Vì các số ngẫu nhiên do máy tính tạo ra thực sự ngẫu nhiên và con người hầu như luôn có quy luật khi chọn từ (từ thông dụng, từ thành ngữ, thứ tự ưu tiên), điều này sẽ thu hẹp đáng kể không gian tìm kiếm và giúp bạn dễ đoán hơn.

Trước đây đã có những sự cố bảo mật liên quan đến "ví giả ngẫu nhiên". Một số ví sử dụng thuật toán giả ngẫu nhiên khi tạo mã ghi nhớ, dẫn đến entropy không đủ mạnh, cho phép tin tặc tấn công brute-force và bẻ khóa mã. Năm 2015, nhóm tin tặc Blockchain Bandit đã khai thác các bộ tạo số ngẫu nhiên bị lỗi và các lỗ hổng mã chương trình để tìm kiếm khóa riêng tư yếu một cách có hệ thống, quét thành công hơn 700.000 địa chỉ ví dễ bị tấn công và đánh cắp hơn 50.000 ETH từ chúng.

Tất nhiên, một số chuyên gia sẽ sử dụng xúc xắc (đảm bảo các xúc xắc đủ đồng đều) để tung các số ngẫu nhiên và sau đó ánh xạ chúng vào thư viện từ vựng BIP 39. Điều này được coi là bảo mật thủ công, nhưng đối với hầu hết mọi người, không cần phải làm quá phức tạp, và rất dễ mắc lỗi.

3. Chúng ta có thể tiết lộ ví của Vitalik Buterin hoặc những cá voi khác một cách dữ dội không?

Tôi đã từng nghĩ đến điều này trước đây, tưởng tượng rằng một ngày nào đó tôi sẽ tạo ra một địa chỉ ví, và rồi tôi sẽ thấy hàng triệu ETH trong đó. Tôi sẽ ngay lập tức được tự do tài chính và đánh cắp từ một con cá voi lớn.

Tôi phải nói rằng, chỉ cần nghĩ đến thôi cũng thấy hấp dẫn rồi, nhưng thực tế là: khả năng đó gần như bằng không.

Tại sao? Bởi vì số lượng các cách kết hợp ghi nhớ có thể được phóng đại đến mức vượt quá sức tưởng tượng của con người:

• 12 từ: Số tổ hợp hợp lệ là khoảng 2¹²⁸ ≈ 3,4 × 10³⁸
• 24 từ: Số tổ hợp hợp lệ là khoảng 2²⁵⁶ ≈ 1,16 × 10⁷⁷

Thứ tự độ lớn này có nghĩa là gì?

Chúng ta đều biết rằng có vô số hạt cát trên Trái Đất, nhưng các nhà khoa học đã ước tính một con số gần đúng. Nếu cộng tất cả các bãi biển và sa mạc trên Trái Đất lại, tổng số cát sẽ vào khoảng 7,5×10¹⁸ hạt. Điều này cũng có nghĩa là:

• Số lượng tổ hợp hợp lệ của 12 từ tương đương với 4,5 × 10¹⁹ lần tổng số hạt cát trên Trái Đất.
• Số lượng tổ hợp hợp lệ của 24 từ gấp 1,5 × 10⁵⁸ lần tổng số hạt cát trên Trái Đất.

Nói cách khác, cứ như thể mỗi hạt cát trên Trái Đất đều trở thành một "Trái Đất mới", và mỗi Trái Đất mới đều có bãi biển và cát. Sau đó, bạn phải tìm ngẫu nhiên hạt cát đã đánh dấu trước đó trong số tất cả những hạt cát này cùng một lúc.

Điều này vượt xa sức tưởng tượng của con người.

Do đó, xác suất tấn công brute-force vào ví không phải là "cực kỳ thấp", nhưng tương đương với 0 xét theo các quy luật vật lý và sức mạnh tính toán đã biết. Nếu bạn muốn làm giàu bằng cách "bẻ khóa cơ sở dữ liệu", bạn cũng có thể mua vé số, với xác suất trúng thưởng cao hơn nhiều.

Quay trở lại bối cảnh của bộ phim: nếu ai đó thực sự chỉ cần một từ ghi nhớ, thì thực sự có thể thử bằng cách duyệt theo cách thô bạo.

Cuối cùng, một số mẹo bảo mật về ví/phương pháp ghi nhớ/khóa riêng:

1. Ưu tiên sử dụng ví không lưu ký đã được thử nghiệm theo thời gian và thị trường, đồng thời có kiểm tra mã nguồn mở, chẳng hạn như MetaMask, Trust Wallet, SafePal, v.v. Nếu có thể, hãy sử dụng trực tiếp ví phần cứng;
2. Không bao giờ chụp ảnh màn hình các ký tự ghi nhớ và khóa riêng tư, lưu chúng vào ổ đĩa mạng, sao chép và dán hoặc gửi chúng cho người khác.
3. Tốt nhất là bạn nên sao chép bằng bút và giấy (bạn có thể cân nhắc sử dụng bảng ghi nhớ bằng thép không gỉ, có khả năng chống ẩm, chống cháy và chống ăn mòn), cất giữ ở nơi an toàn và sao lưu ở 2-3 địa điểm;
4. Bạn có thể công khai khóa công khai/địa chỉ mà không cần lo lắng, đó là số nhà của bạn, nhưng hãy cẩn thận để nhận dạng các liên kết lừa đảo;
5. Bạn nên sử dụng thiết bị sạch để quản lý ví và tránh cài đặt các plugin hoặc ứng dụng không rõ nguồn gốc.
6. Hãy nhớ điều này: Bất kỳ ai yêu cầu bạn một cụm từ ghi nhớ thì chắc chắn là kẻ lừa đảo 100%.