Sau sự cố Liquid Network 320 triệu USD: Một tuyến phòng thủ thất thủ, nền tảng tài sản số còn giữ được gì?

Những sự cố bảo mật liên tiếp gần đây một lần nữa đưa ngành tài sản số trở lại với câu hỏi quen thuộc: thế nào mới được coi là "an toàn" đối với một nền tảng?

Đầu tháng 9, mạng sidechain Liquid Network của Bitcoin xảy ra sự cố bảo mật nghiêm trọng, kẻ tấn công lợi dụng lỗ hổng xác thực trong phần mềm Elements, khiến khoảng 4.000 BTC, trị giá khoảng 320 triệu USD theo giá tại thời điểm xảy ra sự cố, bị chuyển ra ngoài. Đáng chú ý, các khóa PAK và Federation keys liên quan không hề bị xâm phạm. Điều này làm nổi lên một câu hỏi đáng bàn hơn: khi bản thân khóa không bị tấn công, tại sao một giao dịch chuyển tài sản lẽ ra không được phép vẫn có thể vượt qua hệ thống?

Rủi ro tương tự cũng xuất hiện ở các khâu khác. Tháng 8, kẻ tấn công lợi dụng lỗ hổng bảo mật nghiêm trọng của Cosmos EVM để tấn công nhiều mạng, tổng cộng 6 mạng bị khai thác thực tế, trong khi lỗ hổng liên quan trước đó đã được báo cáo thông qua chương trình bug bounty; tháng 7, Triple-A gặp phải tấn công phi kỹ thuật, kẻ tấn công chiếm được thông tin xác thực của nhân sự liên quan và tiến sâu vào môi trường vận hành, cuối cùng khiến một phần tài sản tự có của công ty bị chuyển ra ngoài, nhưng do tiền của khách hàng được lưu trữ độc lập trong tài khoản ủy thác và cách ly với môi trường vận hành bị xâm nhập nên không bị ảnh hưởng.

Ba sự cố có nguyên nhân khác nhau, nhưng cùng chỉ ra một vấn đề thực tế hơn: sự cố bảo mật có lẽ khó tránh khỏi hoàn toàn, nhưng khi một mắt xích trong mã nguồn, con người hay quyền hạn bị phá vỡ, rủi ro sẽ dừng lại ở đâu?

Điều thực sự cần phòng thủ không chỉ là "bị tấn công", mà là rủi ro có thể lan đến đâu

Câu hỏi đáng đặt ra hơn cả "có bị tấn công hay không" là: sau khi tuyến phòng thủ đầu tiên thất bại, kẻ tấn công còn đi được bao xa? Một tài khoản bị chiếm, liệu có đủ để thực hiện thao tác tài sản quan trọng? Một quyền hạn bị phá vỡ, liệu có thể tiếp tục tiến vào hệ thống lõi hơn? Khi môi trường trực tuyến gặp sự cố, bao nhiêu tài sản lõi thực sự nằm trên đường tấn công?

Đây cũng là bài học quan trọng từ những sự cố gần đây: mức độ ảnh hưởng cuối cùng của một cuộc tấn công không chỉ phụ thuộc vào việc kẻ tấn công phá vỡ được gì, mà còn phụ thuộc vào việc sau khi phá vỡ, trong hệ thống còn bao nhiêu tuyến phòng thủ.

Nếu một tài khoản bị chiếm là có thể chạm trực tiếp đến quyền hạn lõi; một môi trường trực tuyến gặp sự cố là có thể ảnh hưởng trực tiếp đến lượng lớn tài sản lõi, thì bất kỳ mắt xích yếu nào cũng có thể bị khuếch đại nhanh chóng. Ngược lại, nếu giữa quyền hạn, thao tác quan trọng, giám sát rủi ro và lưu trữ tài sản có nhiều lớp cách ly, thì một lần phá vỡ chưa chắc đã biến thành thất thủ toàn diện.

Nói cách khác, đánh giá năng lực bảo mật của một nền tảng không chỉ là xem "cánh cửa đầu tiên có giữ được không", mà còn phải xem: sau khi cánh cửa đầu tiên thất thủ, phía sau còn mấy cánh cửa nữa.

Nhìn theo chuỗi tấn công, "cánh cửa tiếp theo" của BIT nằm ở đâu?

Gần đây, nền tảng dịch vụ tài chính số toàn cầu BIT (trước đây là Matrixport) đã công bố Sách trắng Niềm tin BIT V2.0 (https://www.bit.com/whitepaper). Nếu đọc lại sách trắng này theo câu hỏi "điều gì xảy ra sau khi tuyến phòng thủ đầu tiên thất bại", một điểm đáng chú ý là: hệ thống bảo mật của BIT không phụ thuộc vào một tuyến phòng thủ đơn lẻ, mà thiết lập nhiều lớp bảo vệ giữa danh tính, quyền hạn, thao tác và tài sản.

Ví dụ, việc chiếm được thông tin xác thực của một tài khoản không có nghĩa là kẻ tấn công có toàn bộ quyền để hoàn thành thao tác tài sản quan trọng. Sách trắng tiết lộ, BIT áp dụng nguyên tắc đặc quyền tối thiểu để giới hạn phạm vi hệ thống và thao tác mà nhân viên có thể tiếp cận; các thao tác quan trọng như chuyển tài sản, bảo mật tài khoản, thay đổi quyền hạn, tạo và phê duyệt lệnh giao dịch đều cần ít nhất hai nhân sự được ủy quyền cùng tham gia. Lấy Cactus Custody làm ví dụ, tư duy phân lớp này cũng được mở rộng sang kịch bản lưu ký tài sản số cấp tổ chức.

Vượt qua xác thực danh tính cũng không có nghĩa là các thao tác sau đó đều "bật đèn xanh". Đối với các hành vi đăng nhập bất thường, thiết bị bất thường, rút tiền bất thường, BIT tiến hành giám sát liên tục; còn ở phía tài sản, phần lớn tài sản số được lưu trữ trong ví lạnh, giảm thiểu hơn nữa mức độ lộ diện của tài sản lõi khi môi trường trực tuyến gặp sự cố.

Đặt các cơ chế này lại với nhau, logic bảo mật của BIT trở nên trực quan hơn: một danh tính bị phá vỡ không đồng nghĩa với việc có toàn bộ quyền hạn; có một quyền hạn không đồng nghĩa với việc có thể độc lập hoàn thành thao tác quan trọng; vượt qua xác thực danh tính không đồng nghĩa với việc hành vi sau đó không còn chịu phán đoán rủi ro; môi trường trực tuyến gặp sự cố cũng không đồng nghĩa với việc toàn bộ tài sản lõi cùng lúc bị lộ diện.

Điều thực sự quyết định một cuộc tấn công cuối cùng đi được bao xa chính là những chữ "không đồng nghĩa" này. Điều đó không có nghĩa là mọi loại tấn công đều có thể tránh hoàn toàn, nhưng nó có nghĩa là ngay cả khi một tuyến phòng thủ gặp sự cố, phía sau vẫn còn cơ hội nhận diện bất thường, giới hạn quyền hạn hoặc cách ly rủi ro.

Khoảng cách về bảo mật, nhiều khi nằm ngay sau cánh cửa đầu tiên thất thủ.

Phát hiện rủi ro rồi, ai có quyền thực sự nhấn "nút dừng"?

Nhưng thêm vài tuyến phòng thủ kỹ thuật vẫn chưa phải là tất cả. Trong sự cố Cosmos EVM, một chi tiết đáng chú ý là lỗ hổng liên quan trước đó đã được báo cáo qua chương trình bug bounty, nhưng theo thông tin nắm được lúc đó, ban đầu nó bị đánh giá là không dẫn đến tổn thất tiền trên cấu hình mạng sản xuất đã biết.

Điều này cũng phơi bày một vấn đề khác thường bị bỏ qua: phát hiện rủi ro không có nghĩa là rủi ro đã được đánh giá chính xác và xử lý đầy đủ.

Sau khi một lỗ hổng được gửi lên, ai sẽ phán đoán mức độ nghiêm trọng của nó? Nếu đội ngũ bảo mật cho rằng rủi ro không thể chấp nhận, họ có quyền ngăn sản phẩm tiếp tục ra mắt không? Khi tiến độ kinh doanh xung đột với phán đoán bảo mật, ai có quyền quyết định cuối cùng?

Sách trắng Niềm tin BIT V2.0 tiết lộ, khi phương án sản phẩm, yêu cầu, kiến trúc hoặc thay đổi khi ra mắt tồn tại rủi ro bảo mật nghiêm trọng, hoặc không đáp ứng tiêu chuẩn bảo mật cơ bản và yêu cầu tuân thủ, đội ngũ bảo mật có "quyền phủ quyết một phiếu", có thể tạm dừng hoạt động liên quan và yêu cầu khắc phục, tái thẩm định trước khi tiếp tục triển khai.

Điều thực sự đáng chú ý ở cơ chế này không chỉ là thêm một bước phê duyệt, mà là nó trả lời một câu hỏi rất thực tế: khi rủi ro thực sự xuất hiện, có ai có quyền nói "không" hay không. Đối với hệ thống bảo mật, năng lực phát hiện vấn đề cố nhiên quan trọng, nhưng để phán đoán bảo mật thực sự ảnh hưởng đến quyết định kinh doanh cũng quyết định một tuyến phòng thủ chỉ nằm trên giấy tờ hay có thể thực sự phát huy tác dụng.

Khi nghiệp vụ ngày càng phức tạp, "an toàn" cũng không chỉ là tài sản trong ví

Khi nền tảng tài chính số bắt đầu kết nối đồng thời các loại tài sản và hạ tầng tài chính khác nhau như tài sản số, cổ phiếu Mỹ, RWA, vấn đề bảo mật cũng không còn chỉ xảy ra ở tầng ví và tài khoản. Tài sản do ai xử lý, đi qua những tổ chức nào, được thanh toán bù trừ và lưu giữ ở đâu, cũng trở thành phần quan trọng để người dùng phán đoán rủi ro.

Đây cũng là nơi Sách trắng Niềm tin BIT V2.0 mở rộng thêm về hệ thống bảo mật và niềm tin. Ngoài các biện pháp quản trị rủi ro và bảo mật, sách trắng còn tiết lộ các thỏa thuận giám sát, kiểm toán và xác minh độc lập tương ứng với các chủ thể kinh doanh khác nhau, giúp bên ngoài có thể phán đoán thêm: ai chịu trách nhiệm việc gì, cơ chế nào có thể được xác minh, và các cơ chế này bao phủ đến đâu.

Lấy nghiệp vụ cổ phiếu Mỹ của BIT làm ví dụ, nghiệp vụ chứng khoán do Matrix Gelephu Pte. Ltd. vận hành và chịu sự giám sát của GFSO, nghiệp vụ liên quan đồng thời kết nối với các tổ chức tài chính được cấp phép của Mỹ cùng hạ tầng thanh toán bù trừ, lưu ký tương ứng.

Đối với người dùng thông thường, những thỏa thuận tài chính trông có vẻ phức tạp này cuối cùng có thể quy về mấy câu hỏi rất đơn giản: tài sản của tôi do ai xử lý? Đi qua những khâu nào? Các tổ chức khác nhau lần lượt chịu trách nhiệm gì? Danh tính và trạng thái giám sát của các tổ chức này có tra cứu được không?

Đây cũng là nơi "có thể xác minh" thực sự có ý nghĩa — an toàn không thể chỉ dựa vào lời nói của nền tảng, mà còn phải xem người dùng và bên ngoài có thể xác minh được gì.

Nhìn lại Liquid Network, Cosmos EVM và Triple-A, ba sự cố có điểm vào hoàn toàn khác nhau, nhưng đều nhắc nhở thị trường: không có tuyến phòng thủ nào đáng để giả định là không bao giờ thất bại. Điều thực sự tạo ra khoảng cách về bảo mật có lẽ không phải là một công nghệ bảo mật đơn lẻ, mà là ai có thể thiết lập đủ nhiều lớp cách ly và đối trọng giữa danh tính, quyền hạn, thao tác, tài sản và quyết định tổ chức, khiến một lần phá vỡ cục bộ khó biến thành thất thủ toàn diện hơn.

Từ góc độ này, điều đáng chú ý ở Sách trắng Niềm tin BIT V2.0 không chỉ là nó liệt kê bao nhiêu biện pháp bảo mật, mà là các biện pháp này có thể nối thành một hệ thống phòng thủ hoàn chỉnh hay không: một mắt xích gặp sự cố, vẫn còn tầng tiếp theo; tầng tiếp theo gặp sự cố, vẫn còn cơ hội tiếp tục nhận diện, chặn đứng và cách ly rủi ro.

Đối với nền tảng tài sản số, "chưa từng bị tấn công" có lẽ khó trở thành lời hứa vĩnh viễn. Nhưng một điều khác có thể được xây dựng liên tục: an toàn thực sự là ngay cả khi một tuyến phòng thủ thất bại, cũng không để một lần phá vỡ dễ dàng biến thành thất thủ toàn diện. Và khi những tuyến phòng thủ này không chỉ tồn tại mà còn có thể được bên ngoài liên tục xác minh, "niềm tin" mới không còn chỉ là lời nói từ phía nền tảng.