Chiếc huy hiệu 'audited' đang che giấu một lỗ hổng chết người: Bài học 1,4 tỷ USD từ Bybit
Huỳnh Hải
Ngày 21/02/2025, một giao dịch tưởng chừng như bình thường đã rút sạch 1,4 tỷ USD khỏi ví Ethereum của sàn Bybit. Ký tên hợp lệ. Giao diện hiển thị đúng địa chỉ người nhận. Nhưng cái màn hình mà các chủ sở hữu đa chữ ký nhìn thấy không phải là sự thật. Đây không phải là một hack trong code. Đây là một vụ cướp nằm bên ngoài phạm vi mà ngành công nghiệp gọi là "đã kiểm toán".
Tôi đã dành phần lớn sự nghiệp của mình để đọc các báo cáo audit — từ những ngày kiểm toán Uniswap v2 trong một nhóm ba người đến việc phản biện các cơ chế lưu ký tập trung trong quỹ ETF. Và tôi nhận ra một nghịch lý đau đớn: càng nhiều huy hiệu "audited" xuất hiện trên các website dự án, lớp bụi càng dày hơn phủ lên ranh giới thực sự của sự an toàn.
Huy hiệu audit không nói dối. Nhưng nó cũng không nói sự thật. Nó chỉ nói rằng: tại một commit cụ thể, trong một khoảng thời gian nhất định, một nhóm các nhà nghiên cứu đã tìm kiếm những lỗ hổng trong một tập hợp các hợp đồng thông minh được chỉ định. Vậy thôi.
Chiếc màn hình của nạn nhân Bybit đang nói dối không phải là một smart contract. Đó là trình duyệt, là máy tính bị nhiễm, là một mắt xích con người đã được thao túng. Safe, nhà cung cấp ví đa chữ ký, đã mô tả đó là một "máy nhà phát triển bị xâm nhập". Hãy ngẫm nghĩ về điều này: toàn bộ giá trị của một sàn giao dịch lớn thứ hai thế giới đã bị đánh cắp không phải bởi một lỗi trong mã nguồn, mà bởi một quá trình vận hành nằm ngoài mã nguồn.
Theo thống kê từ bản in trước của Oak Security, gần một phần sáu các phát hiện trong audit được đánh giá là nghiêm trọng hoặc nguy hiểm cao. Nghe có vẻ đáng sợ, nhưng hãy nhìn vào con số khác: các vụ trộm khóa riêng tư và lừa đảo chiếm tới 43,9% tổng giá trị tiền bị đánh cắp trong các sự kiện được phân tích. Nghĩa là, gần một nửa số tiền mất đi không phải vì contract bị khai thác, mà vì ai đó đã ký vào một giao dịch mà họ không hiểu.
Đó chính là khoảng cách chết người. Và huy hiệu audit — thứ được in to trên trang chủ, được nhắc đi nhắc lại trong các bài đăng trên Twitter — đang lấp đầy khoảng cách đó bằng một cảm giác an toàn giả tạo.
Hãy xem các công ty audit nghiêm túc nói gì. OpenZeppelin, một trong những cái tên uy tín nhất, phát hành báo cáo với commit hash cụ thể, danh sách hợp đồng được kiểm tra, và thời gian kiểm tra ba ngày. Họ cẩn thận nói về phạm vi. Nhưng khi báo cáo đó được dự án đưa lên website, đoạn mô tả phạm vi chi tiết mờ đi, và chỉ còn lại logo sáng bóng. Quá trình chuyển hóa này biến một tuyên bố có giới hạn thành một lời bảo chứng vô hạn.
Từ kinh nghiệm bản thân, tôi đã từng gửi một issue và bị đồng nghiệp nam bảo rằng tôi "lo xa". Vấn đề là, trong crypto, lo xa là một kỹ năng. Khi bạn nhìn một báo cáo audit, câu hỏi đầu tiên không phải là "họ tìm thấy bao nhiêu lỗi", mà là "những gì họ không tìm kiếm". Các auditor không kiểm tra xem private key có bị lưu trên máy tính cá nhân của team hay không. Họ không kiểm tra liệu giao diện front-end có hiển thị đúng nội dung giao dịch hay không. Họ không kiểm tra liệu nhân viên của bạn có phải là mục tiêu của một chiến dịch lừa đảo tinh vi hay không. Và họ chắc chắn không kiểm tra xem code trong production có khớp với code được audit hay không.
Một báo cáo audit là một bức ảnh chụp tại một thời điểm. Nó không phải là một camera an ninh hoạt động 24/7. Nhưng thị trường lại đang định giá nó như một camera an ninh.
Điều gì làm cho vụ Bybit trở nên đặc biệt đáng sợ? Đó là phản ứng của ngành. Không ai nói rằng Safe là một giao thức tồi. Không ai nói rằng audit là vô dụng. Mọi người đều gật gù: "Đúng, đây là một cuộc tấn công của Bắc Triều Tiên, một điều không thể tránh khỏi." Nhưng sự thật khó chịu hơn nhiều: các cuộc tấn công như thế này có thể được giảm thiểu bằng cách thiết kế lại quy trình ký, chứ không phải bằng cách viết thêm code. Và không một huy hiệu audit nào bắt buộc phải thiết kế lại quy trình đó.
Đây là một góc nhìn phản trực giác: audit đang khiến chúng ta ít an toàn hơn, chứ không phải an toàn hơn. Bởi vì nó chuyển hướng sự chú ý từ những thứ khó đo lường (văn hóa an toàn, quy trình vận hành, kỷ luật quản lý khóa) sang một thứ dễ hiển thị (logo audit trên trang web). Các dự án chi hàng trăm nghìn đô la cho audit để rồi tự tin ký vào bất cứ thứ gì trên màn hình. Các nhà đầu tư tổ chức bỏ qua kiểm tra đối tác bảo quản vì họ đã thấy logo "audited by X". Đó không phải là một lỗ hổng kỹ thuật. Đó là một lỗ hổng nhận thức.
Hãy nhìn vào cấu trúc của một vụ tấn công điển hình: kẻ tấn công chiếm quyền kiểm soát một máy tính của nhà phát triển. Họ chờ đợi. Họ hiểu quy trình ký. Họ sửa đổi giao diện để hiển thị một địa chỉ đáng tin cậy trong khi giao dịch cơ bản lại chuyển quyền sở hữu ví. Các nhà ký, dù có đọc kỹ màn hình, vẫn thấy điều họ mong đợi. Họ ký. 1,4 tỷ USD biến mất. Mọi thứ trên blockchain đều chính xác. Mọi chữ ký đều hợp lệ. Và sự thật thì không ai lừa dối ai, ngoại trừ cái màn hình đã nói dối.
Trong thị trường đi ngang này, khi các nhà đầu tư tìm kiếm sự chắc chắn ở những nơi quen thuộc, cám dỗ tin vào huy hiệu càng lớn. Nhưng những dự án định giá thấp thực sự không phải là những dự án có nhiều logo. Đó là những dự án có câu trả lời rõ ràng cho câu hỏi: "Điều gì sẽ xảy ra nếu một trong những người ký bị nhiễm độc?". Họ có quy trình ký ngoại tuyến? Họ có sử dụng mô phỏng giao dịch để hiển thị kết quả cuối cùng thay vì chỉ hiển thị địa chỉ người nhận? Họ có giới hạn số tiền mỗi lần ký? Họ có cơ chế phát hiện sự bất thường trong cách màn hình được hiển thị?
Những câu hỏi như vậy không có câu trả lời trong bất kỳ báo cáo audit nào.
Tôi từng nghĩ rằng phi tập trung là một câu trả lời. Sau sự kiện ICO 2017, khi tôi phát hiện ra đội ngũ của chính mình đã pre-mine 30% token, tôi tin rằng sự minh bạch kỹ thuật sẽ cứu chúng ta. Sau sự sụp đổ của FTX, tôi tin rằng kiểm toán độc lập sẽ cứu chúng ta. Và bây giờ, tôi tin rằng không một thứ gì cứu được chúng ta nếu chúng ta không học cách hỏi những câu hỏi phản trực giác.
Huy hiệu audit là một công cụ, không phải một biểu tượng đức tin. Công cụ đó chỉ hoạt động khi bạn hiểu giới hạn của nó. Và ranh giới đó không nằm ở mã nguồn — nó nằm ở giữa các máy tính, ví, và tâm trí con người nơi kẻ tấn công đang ẩn náu.
Câu hỏi dành cho bạn bây giờ không phải là "giao thức này đã được audit chưa?". Câu hỏi là: "Nếu màn hình của tôi nói với tôi một điều gì đó sai, làm sao tôi biết?". Bởi vì cho đến khi bạn có câu trả lời — cho đến khi chúng ta xây dựng một thế hệ công cụ xác thực ý định giao dịch một cách minh bạch và có thể kiểm chứng — thì cái huy hiệu đó chỉ là một chứng chỉ đẹp đẽ dán trên cửa sổ. Và tất cả những gì nó cho bạn biết là cửa sổ đã không bị phá vỡ hôm qua.