Khóa học An toàn Cổng 04｜Gate & CertiK: Các tổ chức bảo vệ tài sản hàng chục tỷ đô la như thế nào?

Trong thế giới crypto, để bảo vệ tài sản của mình, có thể bạn chỉ cần quản lý tốt một bộ cụm từ khôi phục. Nhưng nếu bạn đang quản lý hàng chục tỷ USD tài sản của một tổ chức, tình hình sẽ phức tạp hơn nhiều.

Tài sản nên được đặt ở đâu? Giao dịch cần được những ai xác nhận? Ai có quyền đa chữ ký để có thể sử dụng tài sản? Nếu một khâu nào đó bị kẻ tấn công lợi dụng, liệu có thể phát hiện và ngăn chặn tổn thất kịp thời? Những vấn đề này mới là thử thách thực sự mà bảo mật tài sản crypto của tổ chức cần đối mặt.

Trong chương trình 《Bài học Bảo mật Cổng Lớn》 kỳ này, chúng tôi mời CertiK và đội ngũ bảo mật Gate, chuyển góc nhìn từ ví cá nhân sang quản lý tài sản tổ chức, từ hai góc độ tổ chức kiểm toán bảo mật và sàn giao dịch, cùng thảo luận về cách một tổ chức có thể kiểm soát rủi ro tài sản trong phạm vi có thể quản lý được, đồng thời đảm bảo hoạt động kinh doanh diễn ra bình thường.

Giới thiệu khách mời

CertiK: CertiK là công ty bảo mật Web3 có quy mô lớn nhất toàn cầu, được các cơ quan quản lý, tổ chức tài chính và doanh nghiệp đổi mới Web3 trên toàn thế giới tin tưởng. Kể từ khi thành lập năm 2017, CertiK đã cung cấp dịch vụ cho hơn 150 quốc gia và vùng lãnh thổ, phát hiện hơn 119.000 lỗ hổng mã nguồn, bảo vệ hơn 600 tỷ USD tài sản số khỏi tổn thất.

Đội ngũ bảo mật Gate: Bộ phận bảo mật Gate chịu trách nhiệm xây dựng hệ thống bảo mật tài khoản, giao dịch và tài sản của nền tảng, đồng thời lâu dài cung cấp hỗ trợ về quản lý quyền hạn, tích hợp API và lưu ký tài sản cho khách hàng tổ chức.

Gate được thành lập năm 2013, là nền tảng giao dịch chủ lưu đầu tiên trong ngành cam kết 100% dự trữ, hiện phục vụ hơn 61 triệu người dùng trên toàn cầu. Chúng tôi hy vọng thông qua chuỗi khóa học 《Bài học Bảo mật Cổng Lớn》 này, có thể giải thích rõ ràng cơ chế chung đằng sau những rủi ro thực tế mà người dùng có thể gặp phải.

Q1. Sự khác biệt lớn nhất giữa ví do tổ chức quản lý và ví do cá nhân quản lý là gì? Vấn đề bảo mật của tổ chức thường xảy ra ở đâu? So với người dùng thông thường, rủi ro mà tổ chức đối mặt có gì khác biệt?

CertiK: Sự khác biệt cốt lõi nhất là cách thức tổ chức quyền kiểm soát tài sản. Ví cá nhân chủ yếu xoay quanh việc cá nhân bảo quản khóa, nhận diện rủi ro và xác nhận giao dịch; trong khi tổ chức cần để nhiều vị trí, hệ thống và nhà cung cấp dịch vụ bên ngoài cùng quản lý tài sản theo phân quyền rõ ràng, đồng thời gánh vác trách nhiệm về lưu ký tài sản, tính liên tục của hoạt động kinh doanh và tuân thủ. Quy mô vốn sẽ khuếch đại hậu quả, còn mối quan hệ phụ thuộc giữa tổ chức và hệ thống sẽ làm tăng các con đường dẫn đến sai sót.

Rủi ro phổ biến của người dùng cá nhân bao gồm lộ cụm từ khôi phục, lừa đảo phishing và ủy quyền độc hại. Tổ chức cũng đối mặt với những mối đe dọa này, nhưng còn phải tập trung phòng ngừa quyền hạn tập trung quá mức, phê duyệt tách rời khỏi giao dịch thực tế, thiết bị đầu cuối hoặc phần mềm bên thứ ba bị xâm nhập, cũng như nhân viên thông đồng và sai sót vận hành. Khi phân tích sự cố của tổ chức, không thể chỉ dừng lại ở kết quả "lộ khóa riêng tư", mà còn phải truy tra cách kẻ tấn công tiếp cận được khóa, hoặc cách chúng dụ dỗ hệ thống hoàn tất chữ ký mà không cần lấy được khóa.

Năm 2025 đã xảy ra một sự cố điển hình: kẻ tấn công đã sửa đổi giao diện frontend của ví Safe, khiến người ký nhìn thấy thông tin chuyển khoản bình thường, nhưng thực tế lại ký một giao dịch độc hại thay thế hợp đồng triển khai của ví. Nhiều người ký đã hoàn tất chữ ký hợp lệ, nhưng tài sản vẫn bị chuyển đi. Điều này cho thấy, cần kiểm tra không chỉ là "có bao nhiêu người đã ký", mà còn là những gì họ nhìn thấy, những gì họ phê duyệt và những gì họ ký cuối cùng có thực sự là cùng một giao dịch hay không.

Do đó, khi đánh giá bảo mật của tổ chức, cần kiểm tra từng lớp theo trình tự "ai đưa ra chỉ thị, ai xác nhận nội dung, ai có thể ký, ai có thể sửa đổi quy tắc", để đánh giá xem các biện pháp kiểm soát này có thực sự ràng buộc lẫn nhau hay không.

Đội ngũ bảo mật Gate:

Mô hình bảo mật của ví cá nhân sẽ dễ kiểm soát hơn, các biện pháp chủ yếu xoay quanh việc không để lộ cụm từ khôi phục.

Nhưng bảo đảm an toàn cho tổ chức sẽ phức tạp hơn, liên quan đến đa chữ ký, quyền hạn của nhiều người và tần suất thao tác. Cần cân nhắc làm sao để người ở các vị trí khác nhau sử dụng vốn bình thường, đồng thời tránh việc bất kỳ ai có thể tự ý chuyển số tiền đó đi. Độ khó của hai việc này hoàn toàn không cùng một cấp độ.

Từ các sự cố bảo mật công khai mà chúng tôi thấy, những sự cố thực sự do bản thân công nghệ mã hóa bị phá vỡ rất ít, vấn đề nhiều hơn nằm ở các khâu khác, đại khái có thể chia thành ba loại.

Loại thứ nhất là công cụ sử dụng gặp vấn đề. Ví dụ, một phần mềm mã nguồn mở, dịch vụ đám mây hoặc công cụ phát triển nào đó mà đội ngũ sử dụng bị người khác can thiệp, thì rủi ro ví cũng có thể bị ảnh hưởng.

Loại thứ hai là vấn đề con người. Bao gồm việc ai đó mạo danh người khác để lừa lấy quyền hạn, nhân viên nội bộ lạm dụng quyền hạn, và sau khi nhân viên nghỉ việc, quyền hạn vốn có không được thu hồi kịp thời. Chúng tôi đã đề cập trong kỳ đầu tiên: kẻ tấn công không nhất thiết phải tấn công trực tiếp vào hệ thống, mà còn có thể tìm cách tiếp cận những người có quyền hạn. Và quan điểm này cũng áp dụng trong bối cảnh tổ chức, kẻ tấn công có thể tìm hiểu tình hình kỹ thuật của một công ty thông qua thông tin tuyển dụng, tìm kiếm nhân viên liên quan trên nền tảng mã nguồn, hoặc thiết lập quan hệ với nhân viên tại các sự kiện trong ngành, toàn bộ quá trình chuẩn bị có thể kéo dài nhiều tháng.

Loại thứ ba là vấn đề quy trình. Ví dụ, khi gặp tình huống khẩn cấp thì bỏ qua phê duyệt vốn cần có, quyền hạn mở tạm thời quên thu hồi, hệ thống kiểm thử sử dụng dữ liệu kinh doanh thực tế, hoặc để thuận tiện cho công việc, đưa các công cụ nội bộ vốn không nên mở ra ngoài trực tiếp phơi bày trên internet.

Những vấn đề này trông có vẻ không phức tạp, nhưng một khi xảy ra trong tổ chức quản lý lượng lớn tài sản, có thể gây ra tổn thất nghiêm trọng.

Q2. Tổ chức thường sử dụng ví đa chữ ký, lưu ký MPC và phê duyệt để bảo vệ tài sản, các phương pháp này lần lượt giải quyết vấn đề gì? Có những rủi ro nào cần lưu ý?

CertiK: Ba cơ chế này trả lời những câu hỏi khác nhau. Đa chữ ký yêu cầu nhiều khóa cùng ủy quyền, giảm rủi ro một khóa bị xâm phạm; MPC phân tán khả năng ký sang các phần chia sẻ khóa khác nhau, giảm rủi ro lưu trữ và sử dụng khóa riêng tư đầy đủ tập trung; phê duyệt nội bộ thì quyết định một giao dịch có nên xảy ra về mặt kinh doanh hay không. Điều tổ chức thực sự cần xác minh là: ba lớp kiểm soát này trong vận hành thực tế có thể ràng buộc lẫn nhau hay không.

Ví dụ, nếu nhiều khóa được kiểm soát bởi cùng một đội ngũ, cùng một bộ quyền quản trị viên, thì ngưỡng về hình thức đã phân tán, nhưng rủi ro vẫn tập trung. Các phần chia sẻ MPC được lưu trữ riêng biệt, cũng cần xem xét liệu đăng ký thiết bị, xác thực danh tính và quyền khôi phục có thể bị cùng một người nắm giữ hay không. Quy trình phê duyệt cũng vậy: nếu phê duyệt nội dung hiển thị trên trang, nhưng hệ thống ký nhận một giao dịch khác, thì phê duyệt không thể ràng buộc việc chuyển tài sản.

CertiK trong phân tích kỹ thuật về sự cố Gnosis Pay đã phát hiện, khiếm khuyết của mô-đun xác minh ủy quyền khiến các giao dịch chưa được ủy quyền bị chấp nhận sai. Điều này cho thấy, đánh giá không thể dừng ở khóa và thuật toán chữ ký, mà còn phải bao quát xác thực danh tính, xác minh giao dịch, thay đổi quyền hạn và quy trình khôi phục.

Đội ngũ bảo mật Gate: Những vấn đề CertiK đề cập cũng là điều chúng tôi tập trung cân nhắc khi thiết kế giải pháp bảo mật tài sản tổ chức.

Trong quản lý tài sản của chính Gate, phần lớn tài sản được đặt trong ví lạnh đa chữ ký, quản lý ngoại tuyến, cách ly vật lý; ví nóng sử dụng đa chữ ký cộng với tính toán bảo mật đa bên, khóa riêng tư được quản lý phân tán, đồng thời thiết lập chính sách hạn mức, một khi vượt quá hạn mức tài sản sẽ lập tức được chuyển vào ví lạnh.

Khi hướng đến người dùng, chúng tôi cũng có các giải pháp bảo mật khác nhau. Ví dụ đối với khách hàng tổ chức, chúng tôi đã ra mắt Gate Vault. Gate Vault sử dụng cấu trúc chữ ký MPC cộng với 2-of-3, nói đơn giản, Gate Vault sẽ chia khóa thành ba phần, lần lượt do thiết bị của người dùng, Gate và một bên thứ ba độc lập bảo quản. Hoàn tất giao dịch cần đáp ứng các điều kiện ủy quyền quy định, bất kỳ bên nào cũng không thể kiểm soát tài sản của người dùng một mình.

Ngoài ra, Gate Vault còn thiết lập thời gian trì hoãn chuyển khoản 48 giờ. Tất cả các khoản chuyển ra khởi tạo từ Vault đều phải trải qua thời gian trì hoãn 48 giờ, trong khoảng thời gian này người dùng có thể chủ động đóng băng giao dịch. Bởi vì trong bối cảnh tổ chức, thao tác nhầm và bị ép buộc ký cũng là những tình huống thực tế tồn tại, nên giá trị của việc trì hoãn nhận tiền nằm ở việc tạo ra một cửa sổ thời gian cho những tình huống này.

Q3. Tổ chức nên xây dựng một hệ thống quản lý bảo mật hoàn chỉnh như thế nào? Những khâu nào dễ bị bỏ qua nhất?

CertiK: Tổ chức nên xây dựng kiểm soát liên tục xoay quanh một giao dịch: khi khởi tạo xác minh mục đích kinh doanh, đối tác, địa chỉ và hạn mức; khi phê duyệt để người liên quan nhìn rõ ý nghĩa thực tế của giao dịch, và đả