17 Tỷ USD Tiền Mất Cắp Trong Crypto Trong Một Thập Kỷ — Đây Là Nơi Toàn Bộ Số Tiền Đó Thực Sự Đi Đến

Mười bảy tỷ đô la là một số tiền khổng lồ bị tin tặc đánh cắp từ ngành công nghiệp tiền điện tử trong khoảng thời gian mười năm, theo báo cáo của DefiLlama về số tiền bị đánh cắp trong ngành tiền điện tử kể từ năm 2010. Mỗi khi đọc số liệu thống kê này, tôi lại dành một chút thời gian để suy ngẫm trước khi đưa ra nhận định. Mười bảy tỷ đô la là một số tiền lớn. Con số "mất mát" thông qua tất cả các cách khác nhau để đánh cắp tiền điện tử như tấn công khai thác lỗ hổng (exploit hacks), tấn công cầu nối (bridge attacks), rút cạn giao thức (drain protocols) và tấn công sàn giao dịch (exchange hacks) (một số phức tạp hơn nhiều so với những cách khác) củng cố nhận định rằng ngành này đang gặp vấn đề về bảo mật. Điều đã thay đổi là những sự cố này đã gia tăng theo cấp số nhân.

Phân Tích Con Số

Một dịch vụ có tên DefiLlama tổng hợp các vụ hack trên nhiều khía cạnh của thế giới tiền điện tử như một công cụ để giúp nâng cao nhận thức về chủ đề quan trọng này của ngành. Dựa trên dữ liệu được phân tích bởi DefiLlama, 17 tỷ đô la đã bị hack trong các khía cạnh khác nhau của tiền điện tử trong mười năm qua. Tuy nhiên, những số tiền đó không được phân bổ đều trong suốt 10 năm; đã có những sự kiện hack đáng kể xảy ra trong khoảng thời gian ba năm từ 2021 đến 2023 khi tổng giá trị bị khóa (TVL) trong tài chính phi tập trung (DeFi) tăng vọt, và cũng nhanh chóng như vậy, các nỗ lực tấn công gia tăng khi những kẻ tấn công nhận ra rằng có rất nhiều tiền đang được đặt vào DeFi chỉ với vài tháng kiểm toán bảo mật và thử nghiệm.

Mô hình tấn công tương tự. Một lĩnh vực mới của crypto nhanh chóng thu hút dòng vốn lớn - nhanh hơn việc số tiền đó có thể được bảo đảm thông qua các cuộc kiểm toán bảo mật mã chính thức, nhanh hơn việc công nghệ an toàn có thể được sản xuất và thử nghiệm, và nhanh hơn bất kỳ ai có thể hoàn thành đầy đủ các bài kiểm tra căng thẳng (stress test) để xem điều gì xảy ra khi 100 triệu đô la tài sản của một cá nhân được lưu trữ trong một hợp đồng mới chỉ ba tuần tuổi. Những kẻ tấn công theo dõi những dòng tiền đổ vào nhanh chóng đó và bắt đầu tìm kiếm cơ hội để tìm cách xâm nhập số tiền đó.

Các cầu nối cross-chain có lịch sử là mục tiêu của các cuộc tấn công quy mô lớn. Vào năm 2022, vụ khai thác cầu Ronin đã gây ra thiệt hại 625 triệu đô la. Vụ khai thác Wormhole gây thiệt hại 320 triệu đô la và Nomad chịu thiệt hại 190 triệu đô la. Một trong những lý do chính khiến các cầu nối cross-chain là mục tiêu hấp dẫn đối với những kẻ tấn công là vì chúng lưu trữ nhiều nhóm tài sản lớn ở cả hai phía của hai chuỗi được lưu trữ trong đó - do đó, các cầu nối cross-chain có thể được hiểu là hoạt động như một kho tiền nằm ở giao điểm của hai hệ thống; do đó, việc bảo mật giao điểm đó là rất khó khăn.

Giải Phẫu Một Vụ Hack Crypto

Có nhiều cách khác nhau mà tin tặc có thể đánh cắp tiền điện tử, và việc gộp tất cả chúng lại với nhau sẽ khiến việc hiểu rõ điều gì đang thực sự xảy ra trở nên khó khăn hơn.

Một số vụ hack này xảy ra ở cấp độ hợp đồng thông minh. Trong các loại tấn công này, kẻ tấn công tận dụng một lỗ hổng trong cách hợp đồng thông minh được mã hóa và sử dụng lỗ hổng đó để thực hiện một giao dịch tài chính mà hợp đồng thông minh sẽ cho phép. Tấn công cho vay chớp nhoáng (flash loan attack) là một ví dụ về loại hack này. Trong trường hợp này, kẻ tấn công có thể vay một lượng lớn tiền và sau đó, trong cùng một giao dịch, thao túng một oracle giá hoặc một nhóm thanh khoản, lấy giá trị từ giao dịch và trả lại số tiền đã vay. Tất cả điều này sẽ xảy ra trong vòng vài giây – mà không có mật khẩu nào bị đánh cắp hay việc sử dụng máy chủ trái phép; điều duy nhất xảy ra là toán học đã bị lợi dụng chính nó.

Một ví dụ khác về tấn công là khi ai đó có được quyền truy cập vào khóa riêng (private key) cho phép họ kiểm soát kho bạc của một giao thức hoặc ký cho một cầu nối. Một ví dụ điển hình là vụ hack Ronin, trong đó tin tặc do nhà nước Triều Tiên bảo trợ đã nhắm mục tiêu vào các nhân viên cá nhân của Sky Mavis (nhà sáng tạo Axie Infinity) để giành đủ quyền truy cập vào các khóa nhằm rút cạn tiền của cầu nối mà không bị phát hiện trong sáu ngày.

Chi tiết này đáng để suy ngẫm: phải mất cả một tuần để vụ hack đơn lẻ lớn nhất trong lịch sử tiền điện tử được phát hiện.

Sau đó là các vụ hack sàn giao dịch tập trung, chẳng hạn như những sàn giữ tiền của khách hàng. Sự sụp đổ của FTX không phải do một vụ hack theo nghĩa truyền thống, nhưng 400 triệu đô la được rút khỏi ví của nó vài giờ sau khi nộp đơn phá sản gần như chắc chắn là do một vụ hack. Mt. Gox đã mất 850.000 Bitcoin trong vài năm, và Mt. Gox chưa bao giờ có thể xác định được điều gì đang xảy ra trong khi vụ hack đang diễn ra.

Ai Đang Thực Hiện Các Vụ Trộm

Nhiều vụ hack quan trọng nhất không phải là cơ hội ngẫu nhiên. Nhóm Lazarus của Triều Tiên được cho là đã đánh cắp hàng tỷ đô la tiền điện tử từ nhiều hoạt động. Chính phủ Hoa Kỳ đã trừng phạt các địa chỉ ví khác nhau liên quan đến họ, và một số công ty phân tích blockchain đã theo dõi sự di chuyển của tài sản trong một loạt các hệ thống rửa tiền ngày càng phức tạp (công cụ trộn (mixers), chuyển chuỗi (chain hops), và thông qua các nhà môi giới đặt tại các khu vực pháp lý được quản lý lỏng lẻo).

Việc trộm cắp tiền điện tử ở cấp độ này đã trở thành nguồn thu nhập cho một quốc gia được nhà nước bảo trợ chính thức. Điều đó nghe có vẻ kỳ lạ, nhưng có rất nhiều bằng chứng ủng hộ điều này, từ nhiều tổ chức nghiên cứu độc lập.

Các vụ hack khác thường do những tin tặc ít tinh vi hơn thực hiện (ví dụ: các nhà phát triển tìm thấy bất kỳ giao thức nào chưa được kiểm toán, các nhóm cố gắng cạnh tranh lẫn nhau, những người thực hiện lừa đảo cá nhân (phishing) người dùng).

Những Gì Ngành Đã Và Chưa Khắc Phục

Trong thế giới ngày nay, kiểm toán bảo mật hiện được thực hiện trên mọi lần ra mắt giao thức nghiêm túc như một thực hành tiêu chuẩn. Các chương trình tiền thưởng lỗi (bug bounty programs) là một cách để các nhà nghiên cứu có một con đường để nhận được khoản thanh toán hợp pháp khi phát hiện ra các lỗ hổng trước khi tin tặc làm. Nhiều cầu nối hiện sử dụng các thiết lập trình xác thực phi tập trung hơn để giảm thiểu rủi ro của một điểm lỗi duy nhất.

Bất chấp những nỗ lực này, các vụ hack vẫn tiếp tục xảy ra với tần suất chưa từng có. Mặc dù đã có một số nỗ lực nhằm làm chậm tần suất các sự cố đơn lẻ thực sự thảm khốc, tổng thiệt hại tích lũy vẫn tiếp tục tăng.

Thực tế là nhiều phần của cơ sở hạ tầng tiền điện tử bắt đầu như các sản phẩm được xây dựng vội vàng, bởi các nhóm nhỏ, được thực hiện trong sự vội vã cạnh tranh để đưa tiền vào lưu thông mà không có đủ thời gian để suy nghĩ kỹ lưỡng về các kịch bản 'điều gì sẽ xảy ra' từ góc độ của kẻ tấn công, người có vô số thời gian để tấn công, cũng như phương tiện tài chính không giới hạn trong tầm tay.

Môi trường này đã khiến ngành công nghiệp tiêu tốn hơn 17 tỷ đô la để xây dựng trong thập kỷ qua. Kết quả của thập kỷ tới phụ thuộc vào việc ngành đã học được những sai lầm đó một cách thành công, hay chỉ đơn giản là trở nên giỏi hơn trong việc ghi lại các báo cáo hậu sự cố của mình.