3.2亿美元Liquid Network事件之后：一道防线失守，数字资产平台还能守住什么？

Các sự kiện bảo mật liên tiếp xảy ra gần đây một lần nữa đưa ngành tài sản số trở lại với một câu hỏi quen thuộc: thế nào thì một nền tảng mới thực sự được coi là "an toàn"?

Đầu tháng 9, Bitcoin sidechain Liquid Network đã xảy ra một sự kiện bảo mật nghiêm trọng. Kẻ tấn công đã lợi dụng lỗ hổng xác minh của phần mềm Elements, khiến khoảng 4.000 BTC, tương đương khoảng 320 triệu USD theo giá tại thời điểm xảy ra sự việc, bị chuyển ra ngoài. Đáng chú ý, các PAK và Federation keys liên quan không hề bị xâm phạm. Điều này làm nổi lên một câu hỏi đáng bàn hơn: khi bản thân các khóa không bị xâm phạm, tại sao một giao dịch chuyển tài sản lẽ ra không nên xảy ra vẫn có thể vượt qua hệ thống?

Rủi ro tương tự cũng xuất hiện ở các khâu khác. Tháng 8, kẻ tấn công đã lợi dụng lỗ hổng bảo mật nghiêm trọng của Cosmos EVM để tấn công nhiều mạng lưới, với tổng cộng 6 mạng lưới bị khai thác thực tế, trong khi lỗ hổng liên quan trước đó đã được báo cáo thông qua chương trình săn thưởng lỗ hổng. Tháng 7, Triple-A lại gặp phải tấn công kỹ nghệ xã hội, kẻ tấn công có được thông tin xác thực của nhân sự liên quan và tiến sâu hơn vào môi trường vận hành, cuối cùng khiến một phần tài sản tự có của công ty bị chuyển ra ngoài. Tuy nhiên, do tiền của khách hàng được lưu giữ độc lập trong tài khoản tín thác và được tách biệt khỏi môi trường vận hành bị xâm phạm, nên không bị ảnh hưởng.

Nguyên nhân của ba sự kiện không giống nhau, nhưng cùng hướng tới một vấn đề thực tế hơn: các sự kiện bảo mật có thể rất khó tránh khỏi hoàn toàn, nhưng một khi một mắt xích trong mã nguồn, con người hay quyền hạn bị phá vỡ, rủi ro sẽ dừng lại ở đâu?

Điều thực sự cần phòng ngừa không chỉ là "bị xâm phạm", mà là rủi ro có thể lan xa đến đâu

Câu hỏi đáng truy vấn hơn cả "có bị tấn công hay không" là: sau khi tuyến phòng thủ đầu tiên mất hiệu lực, kẻ tấn công còn có thể đi xa đến đâu? Một tài khoản bị thất thủ liệu có đủ để hoàn thành các thao tác tài sản then chốt? Một quyền hạn bị phá vỡ liệu có thể tiếp tục xâm nhập vào các hệ thống cốt lõi hơn? Khi môi trường trực tuyến gặp vấn đề, có bao nhiêu tài sản cốt lõi thực sự bị phơi bày trên đường tấn công?

Đây cũng là một gợi mở quan trọng từ vài sự kiện gần đây: mức độ ảnh hưởng cuối cùng của một cuộc tấn công không chỉ phụ thuộc vào việc kẻ tấn công đã phá vỡ được gì, mà còn phụ thuộc vào việc sau khi phá vỡ, trong hệ thống còn bao nhiêu tuyến phòng thủ.

Nếu một tài khoản bị xâm phạm là có thể chạm trực tiếp tới quyền hạn cốt lõi; nếu một môi trường trực tuyến gặp vấn đề là có thể ảnh hưởng trực tiếp tới lượng lớn tài sản cốt lõi, thì bất kỳ mắt xích yếu nào cũng có thể bị khuếch đại nhanh chóng. Ngược lại, nếu giữa quyền hạn, thao tác then chốt, giám sát rủi ro và nơi lưu giữ tài sản có nhiều lớp cách ly, thì một lần phá vỡ chưa chắc đã biến thành thất thủ toàn diện.

Nói cách khác, để đánh giá năng lực bảo mật của một nền tảng, không chỉ cần xem "cánh cửa đầu tiên có giữ được hay không", mà còn phải xem: sau khi cánh cửa đầu tiên thất thủ, phía sau còn bao nhiêu cánh cửa nữa.

Nhìn theo chuỗi tấn công, "cánh cửa tiếp theo" của BIT nằm ở đâu?

Gần đây, nền tảng dịch vụ tài chính số toàn cầu BIT (trước đây là Matrixport) đã công bố Sách trắng Niềm tin BIT V2.0 (https://www.bit.com/whitepaper). Nếu đọc lại sách trắng này theo câu hỏi "điều gì sẽ xảy ra sau khi tuyến phòng thủ đầu tiên mất hiệu lực", một điểm đáng chú ý là: hệ thống bảo mật của BIT không dựa vào một tuyến phòng thủ đơn lẻ nào, mà thiết lập nhiều lớp bảo vệ giữa danh tính, quyền hạn, thao tác và tài sản.

Ví dụ, việc một thông tin xác thực tài khoản bị đánh cắp không có nghĩa là kẻ tấn công có toàn bộ quyền hạn để hoàn thành các thao tác tài sản then chốt. Theo sách trắng, BIT giới hạn phạm vi hệ thống và thao tác mà nhân viên có thể tiếp cận thông qua nguyên tắc quyền hạn tối thiểu; các thao tác then chốt liên quan đến chuyển tài sản, bảo mật tài khoản, thay đổi quyền hạn, tạo và phê duyệt lệnh giao dịch đều cần ít nhất hai nhân sự được ủy quyền cùng tham gia. Lấy Cactus Custody làm ví dụ, cách tiếp cận phân lớp này cũng được mở rộng sang bối cảnh lưu ký tài sản số cấp tổ chức.

Vượt qua xác thực danh tính cũng không có nghĩa là các thao tác sau đó đều "đèn xanh" suốt. Đối với các hành vi như đăng nhập bất thường, thiết bị bất thường, rút tiền bất thường, BIT sẽ tiến hành giám sát liên tục; còn ở phía tài sản, phần lớn tài sản số được lưu giữ trong ví lạnh, qua đó giảm hơn nữa mức độ phơi bày của tài sản cốt lõi khi môi trường trực tuyến gặp vấn đề.

Đặt các cơ chế này cạnh nhau, logic bảo mật của BIT trở nên trực quan hơn: một danh tính bị phá vỡ không đồng nghĩa với việc có được toàn bộ quyền hạn; có được một quyền hạn không đồng nghĩa với việc có thể độc lập hoàn thành thao tác then chốt; vượt qua xác thực danh tính không đồng nghĩa với việc các hành vi tiếp theo không còn phải chịu đánh giá rủi ro; môi trường trực tuyến gặp vấn đề cũng không đồng nghĩa với việc toàn bộ tài sản cốt lõi bị phơi bày cùng lúc.

Điều thực sự quyết định một cuộc tấn công cuối cùng có thể đi xa đến đâu chính là những "không đồng nghĩa" này. Điều đó không có nghĩa là bất kỳ cuộc tấn công nào cũng có thể được ngăn chặn hoàn toàn, nhưng nó có nghĩa là ngay cả khi một tuyến phòng thủ nào đó gặp vấn đề, phía sau vẫn còn cơ hội nhận diện bất thường, hạn chế quyền hạn hoặc cách ly rủi ro.

Khoảng cách về bảo mật, nhiều khi nằm ở phía sau cánh cửa đầu tiên sau khi nó thất thủ.

Phát hiện rủi ro rồi, ai có quyền thực sự nhấn "nút dừng"?

Nhưng có thêm vài tuyến phòng thủ kỹ thuật vẫn chưa phải là tất cả. Trong sự kiện Cosmos EVM, một chi tiết đáng chú ý là lỗ hổng liên quan trước đó đã được báo cáo thông qua chương trình săn thưởng lỗ hổng, nhưng theo thông tin nắm được vào thời điểm đó, ban đầu nó được đánh giá là sẽ không gây tổn thất tài chính trên cấu hình mạng sản xuất đã biết.

Điều này cũng phơi bày một vấn đề khác thường bị bỏ qua: phát hiện rủi ro không có nghĩa là rủi ro đã được đánh giá chính xác và xử lý đầy đủ.

Sau khi một lỗ hổng được gửi lên, ai là người phán đoán nó nghiêm trọng đến mức nào? Nếu đội ngũ bảo mật cho rằng rủi ro là không thể chấp nhận, liệu họ có quyền ngăn sản phẩm tiếp tục được triển khai? Khi tiến độ kinh doanh xung đột với phán đoán bảo mật, ai nắm quyền quyết định cuối cùng?

Sách trắng Niềm tin BIT V2.0 tiết lộ rằng khi phương án sản phẩm, yêu cầu, kiến trúc hoặc thay đổi triển khai tồn tại rủi ro bảo mật nghiêm trọng, hoặc không phù hợp với đường cơ sở bảo mật và yêu cầu tuân thủ, đội ngũ bảo mật có "quyền phủ quyết một phiếu", có thể tạm dừng các hoạt động liên quan và yêu cầu khắc phục, đánh giá lại trước khi tiếp tục thúc đẩy.

Điểm thực sự đáng chú ý của cơ chế này không chỉ là có thêm một bước phê duyệt, mà là nó trả lời một câu hỏi rất thực tế: khi rủi ro thực sự xuất hiện, có ai đó có quyền nói "không" hay không. Đối với một hệ thống bảo mật, năng lực phát hiện vấn đề đương nhiên quan trọng, nhưng việc để phán đoán bảo mật thực sự có thể ảnh hưởng đến quyết định kinh doanh cũng quyết định một tuyến phòng thủ rốt cuộc chỉ được viết trong quy chế, hay có thể thực sự phát huy tác dụng.

Khi kinh doanh ngày càng phức tạp, "an toàn" cũng không chỉ là tài sản trong ví

Khi các nền tảng tài chính số bắt đầu đồng thời kết nối nhiều loại tài sản và hạ tầng tài chính khác nhau như tài sản số, cổ phiếu Mỹ, RWA..., vấn đề bảo mật cũng không còn chỉ xảy ra ở cấp ví và tài khoản. Ai xử lý tài sản, đi qua những tổ chức nào, được thanh toán và nắm giữ ở đâu cũng trở thành một phần quan trọng để người dùng đánh giá rủi ro.

Đây cũng là nơi Sách trắng Niềm tin BIT V2.0 tiếp tục triển khai hệ thống an toàn và niềm tin. Ngoài các biện pháp kiểm soát rủi ro và bảo mật, sách trắng còn tiết lộ các thỏa thuận về giám sát, kiểm toán và xác minh độc lập tương ứng với từng chủ thể kinh doanh khác nhau, để bên ngoài có thể đánh giá thêm: ai chịu trách nhiệm về việc gì, những cơ chế nào có thể được xác minh, và các cơ chế này bao phủ tới đâu.

Lấy mảng kinh doanh cổ phiếu Mỹ của BIT làm ví dụ, mảng chứng khoán của nó được vận hành bởi Matrix Gelephu Pte. Ltd. và chịu sự giám sát của GFSO, đồng thời kết nối với các tổ chức tài chính được cấp phép tại Mỹ cùng hạ tầng thanh toán, lưu ký tương ứng.

Đối với người dùng thông thường, những thỏa thuận tài chính trông có vẻ phức tạp này cuối cùng thực ra có thể quy về vài câu hỏi rất đơn giản: tài sản của tôi do ai xử lý? Đi qua những khâu nào? Các tổ chức khác nhau phụ trách điều gì? Danh tính và trạng thái giám sát của các tổ chức này có thể tra cứu được không?

Đây cũng là nơi mà "có thể xác minh" thực sự có ý nghĩa — an toàn không thể chỉ dựa vào việc nền tảng tự nói điều gì, mà còn phải xem người dùng và bên ngoài có thể xác minh được điều gì.

Nhìn lại Liquid Network, Cosmos EVM và Triple-A, điểm xâm nhập của ba sự kiện hoàn toàn khác nhau, nhưng đều nhắc nhở thị trường rằng: không có tuyến phòng thủ nào đáng được giả định là sẽ không bao giờ mất hiệu lực. Điều thực sự tạo ra khoảng cách về bảo