Những “cây cầu” trong thế giới crypto

 

Thế giới tiền mã hóa ngày nay khác rất nhiều so với hơn 10 năm trước, thời chỉ có mỗi Bitcoin. Sự phát triển của công nghệ chuỗi khối và crypto đã mở ra thị trường tài chính phi tập trung (DeFi) với một lượng lớn các blockchain đang hoạt động, mỗi blockchain lại có những ưu khuyết điểm khác nhau - chẳng hạn phí giao dịch thấp, tốc độ xử lý nhanh. 

Từ đây phát sinh nhu cầu chuyển đổi tài sản qua lại giữa các blockchain với nhau. Ví dụ, nhà đầu tư có đồng Ether (ETH) khi muốn mua NFT sẽ chuyển sang các blockchain có phí giao dịch thấp hơn, chẳng hạn Solana, thay vì mua ngay trên mạng “chính gốc” Ethereum.

Từ nhu cầu này, giới lập trình viên và kỹ sư máy tính đã dựng nên những “cây cầu” để người dùng có thể chuyển tài sản từ nơi này sang nơi khác. “Chúng ta đang chuyển dịch mạnh mẽ sang thế giới đa blockchain. Những cây cầu là một hạ tầng vô cùng chính yếu vào thời điểm này” - Kanav Kariya, chủ tịch Công ty Jump Crypto, khẳng định trong một cuộc phỏng vấn hồi tháng 2.

Có vai trò tối quan trọng song những “cây cầu” trong thế giới crypto hiện đang là mục tiêu thường xuyên bị dòm ngó và dễ tấn công. Thực tế là chỉ trong vòng 1 năm trở lại đây, các vụ hack cầu nối blockchain đã gây thiệt hại đến 1 tỉ USD mà mới nhất là vụ “cầu nối” Ronin của trò chơi Axie Infinity bị hacker xâm nhập và lấy đi số crypto trị giá hơn 600 triệu USD hồi tháng trước.

MIẾNG MỒI NGON

Theo BBC, giới chuyên gia nhận xét thị trường tiền mã hóa đang ngày càng giống như một thứ “quả cành thấp” - tức mục tiêu dễ xơi - trong mắt tin tặc, còn Tom Robinson, đồng sáng lập Hãng phân tích blockchain Elliptic, gọi những công ty crypto là “hũ mật khổng lồ” hấp dẫn với tội phạm.

Trong vụ mới nhất, một nhóm tin tặc hiện chưa rõ danh tính đã xâm nhập vào Ronin - cầu nối giữa Ethereum và Axie Infinity, cái tên dẫn đầu trong thể loại game blockchain “chơi để kiếm tiền” (play to earn) - và lấy đi 173.600 đồng ETH và 25,5 triệu đồng USDC - trị giá khoảng 615 triệu USD.

Cả Axie Infinity, cầu nối Ronin và Ronin Network (blockchain phụ trên nền Ehtereum để vận hành game và cầu nối) đều do Sky Mavis, start-up công nghệ có trụ sở ở TP.HCM, phát triển. Người chơi Axie Infinity sưu tầm thú cưng ảo, mang chúng đi đấu với nhau để giành được tiền mã hóa, rồi dùng tiền đó đầu tư vào nền kinh tế trong game - mua bán, trao đổi thú cưng/vật phẩm, hoặc rút tiền về. Cầu nối Ronin là công cụ để người chơi nạp/rút ETH hoặc USDC đối với tài khoản trong game.

Cơ chế hoạt động của Ronin, cũng như các cầu nối blockchain khác, gồm 2 hợp đồng thông minh (một ứng dụng phổ biến của blockchain) được thiết lập và thực thi song song. Khi một người chơi gửi một đồng ETH đến Ronin, đồng tiền đó sẽ được “giam” tại blockchain này để người đó không thể tiếp tục dùng nó trên mạng Ethereum. Cùng lúc, Ronin sẽ tạo một token tương đương và gửi vào ví của người chơi trong game. Vậy là tiền của người chơi đã chuyển từ blockchain này sang blockchain khác.

Kỹ sư phần mềm Molly White đưa ra cách so sánh để người ngoại đạo dễ hình dung về cầu nối blockchain, mà cụ thể là Ronin: việc nạp/rút tiền trong Axie Infinity cũng như ta dùng tiền mua phỉnh ở casino - đổi tiền sang một tài sản tương đương để chi tiêu trong sòng bạc và sau đó đổi ngược lại thành tiền. Quầy đổi tiền ở casio cũng như cầu nối Ronin, nhận và giữ tiền nguồn, rồi đưa tiền quy đổi cho khách. Vấn đề xảy ra khi két sắt của casino bị khoắng: phỉnh vẫn còn trên tay nhưng không rút được tiền về. Trong vụ hack Ronin, chính số tiền bị “giam” ở cầu nối là thứ bị đánh cắp, số dư trong ví của người chơi không thay đổi.

Vụ việc xảy ra hôm 23-3 nhưng gần 1 tuần sau mới bị phát hiện, khi một người dùng thông báo không rút được 5.000 ETH từ cầu nối Ronin. Đây được xem là vụ hack lớn nhất trong lịch sử tiền mã hóa. Kỷ lục trước đó thuộc về Wormhole, cầu nối giữa Ethereum và Solana, với số crypto trị giá khoảng 300 triệu USD bị cuỗm mất hồi tháng 2. Ngoài 2 vụ này, trong năm qua còn có 5 vụ hack đình đám khác với tổng số tiền bị đánh cắp lên đến 1 tỉ USD, theo Hãng phân tích Chainalysis.

VÌ SAO MONG MANH ĐẾN VẬY?

“Cầu nối blockchain, theo ý tôi, là điểm yếu tiềm năng lớn nhất của crypto vào lúc này” - Sam Peurifoy, thuộc Công ty đầu tư Hivemind Capital, nhận xét. Hãng công nghệ blockchain CertiK cho rằng các cầu nối blockchain tạm giữ hàng trăm triệu đôla tài sản là mục tiêu hàng đầu của hacker và càng có nhiều “đầu cầu” (tức các blockchain được kết nối) thì chỉ càng có thêm hướng dễ bị tấn công. Cả hai vụ tấn công đình đám gần nhất đều chứng thực cho các nhận xét này.

Các blockchain như Ethereum bảo mật tốt nhưng nhược điểm giao dịch chậm vì tất cả đều phải được toàn bộ hệ thống với hàng trăm ngàn máy tính khắp thế giới xác thực - một quá trình rất tốn tài nguyên. Ronin là cách gọi các samurai mất chủ ở Nhật thời phong kiến. Sky Mavis chọn tên này cho công cụ của họ để thể hiện ý muốn “tự quyết định số phận sản phẩm của mình” thay vì phụ thuộc vào Ethereum, nhưng trớ trêu là họ đã nhận một bài học đắt giá.

Cơ chế của Ronin giúp xác thực nhanh hơn, ít tốn kém hơn vì chỉ sử dụng mạng lưới gồm 9 node (nút), với quy tắc bất kỳ giao dịch nạp hay rút tiền nào được 5 máy tính trong mạng này xác thực thì sẽ được thông qua. Điều này có nghĩa nếu 5 máy xác thực này bị kẻ xấu chi phối thì bất kỳ giao dịch nào cũng sẽ được chấp nhận. Đó chính xác là điều đã xảy ra. Những kẻ tấn công đã chiếm quyền kiểm soát 5/9 node xác thực, trong đó có 4 node do Sky Mavis nắm và 1 node thuộc bên thứ 3 quản lý, từ đó tự tạo 2 giao dịch rút tiền và tự xác thực nên dễ dàng lấy đi số tiền khổng lồ.

Việc chiếm được quyền kiểm soát node thuộc bên thứ 3 liên quan đến một bất cẩn trong vận hành của Sky Mavis từ tháng 11-2021. Nói ngắn gọn là Sky Mavis mở ra cơ chế “lối tắt” để nhanh chóng giải quyết các giao dịch khi lượng người chơi tăng đột biến vào thời điểm đó, nhưng khi tình hình dịu lại thì quên đóng lối tắt đó lại, để tênh hênh cho hacker phát hiện và khai thác. 

“Điều này khá điển hình với các công ty crypto. Nói thẳng ra, nhiều vụ hack và khai thác lỗ hổng bảo mật là do sự bất cẩn và thiếu quan tâm trong việc bảo vệ tiền của người khác” - BBC dẫn lời Frances Coppola, một cây bút của chuyên trang về crypto CoinDesk. Theo chuyên gia này, nhiều công ty crypto thường vội vàng đưa thiết kế lỗi, mã lập trình chưa hoàn thiện chỉ để nhanh chóng đáp ứng nhu cầu tăng cao, bất chấp việc phải “hy sinh” mức độ bảo mật.

Trong khi đó, nguyên nhân vụ hack của Wormhole là lỗi kỹ thuật. Như mọi cầu nối blockchain khác, Wormhole dùng 1 hợp đồng thông minh để nhận ETH và 1 hợp đồng khác để tạo token tương ứng cho Solana. Theo phân tích sơ bộ của CertiK, kẻ tấn công đã khai thác một lỗ hổng bảo mật trên hợp đồng thứ 2, tạo khống số tiền chuyển đổi tương đương 120.000 ETH và yêu cầu chuyển ngược thành ETH. Theo lối ví von của Molly White, điều này giống như bỗng dưng có người mang một đống phỉnh ra quầy casio và đòi đổi lại tiền mặt dù lúc bước vào sòng không hề giao dịch gì.

Theo Bloomberg, vụ hack Ronin là lời nhắc nhớ rằng một công nghệ dù hữu ích, nhanh chóng và ít tốn kém như cầu nối blockchain chưa chắc đã an toàn. Vitalik Buterin, nhà sáng lập Ethereum, cũng từng cho rằng công cụ cầu nối sẽ không tồn tại được lâu trong hệ sinh thái crypto một phần là vì chúng có nhiều hạn chế cơ bản về bảo mật. Buterin ủng hộ việc giữ tài sản mã hóa trên blockchain “chính chủ”, nhưng thực tế cho thấy không phải ai cũng có thể làm vậy.

Chưa rõ vụ tấn công triệu đô thứ 10 trong vòng 1 năm có làm nản lòng giới đầu tư hay không, song nhiều người vẫn lạc quan và đầy tin tưởng. “Cá nhân tôi không lo lắng gì. Mọi thứ rồi sẽ ổn thôi. [Sky Mavis] được như ngày nay là cũng có lý do cả” - Vince Zolezzi, một nhà đầu tư crypto mà ¼ danh mục đầu tư đổ hết vào Ronin, nói với CNN. Nhiều người cho rằng bị hack là chuyện bình thường trong thế giới crypto, quan trọng là mỗi vụ tấn công lại là một bài học kinh nghiệm giá trị. Họ cũng tin rằng Ronin sẽ bằng cách nào đó lấy lại được số tiền đã mất.