Bài học từ vụ hack Bybit: trải nghiệm ký là mắt xích yếu nhất của MultiSig

Ngày 21 tháng 2, khoảng 1,5 tỷ USD ETH và token staked-ETH đã rời khỏi một trong những ví lạnh của Bybit chỉ trong một giao dịch được phê duyệt — vụ trộm crypto lớn nhất từng được ghi nhận. Ví đó là một ví MultiSig. Mọi người ký bắt buộc đều đã ký. Và theo tất cả những gì các cuộc điều tra cho thấy, không hề có khóa riêng tư nào bị đánh cắp. Nếu bạn chỉ rút ra một bài học duy nhất từ vụ hack Bybit, hãy để nó là điều này: phần mật mã vẫn đứng vững, mà tiền thì vẫn ra đi.

Đây không phải là lập luận chống lại MultiSig. Chúng tôi xây dựng ví MultiSig, và chúng tôi vẫn xem việc ký M-of-N là cách kiểm chứng độc lập tốt nhất để giữ những khoản tiền lớn. Đây là lập luận về việc bề mặt tấn công thực sự nằm ở đâu. MultiSig phân tán quyền lưu ký khóa; nhưng bản thân nó không phân tán khâu kiểm chứng. Mỗi chữ ký chỉ đáng tin đúng bằng mức độ hiểu biết của người ký về payload trước mặt họ — và ngày 21 tháng 2, sự hiểu biết đó đã bị kẻ tấn công dàn dựng.

Những gì chúng ta biết, sau hai tuần

Tính đến thời điểm viết bài, bức tranh ghép lại từ các tuyên bố của Bybit, công bố sau sự cố của Safe, và quy kết công khai của FBI là nhất quán. Đội ngũ của Bybit đặt ra mục tiêu thực hiện một lệnh chuyển tiền thông thường từ một ví lạnh MultiSig trên Ethereum sang một ví ấm, sử dụng giao diện web Safe{Wallet} mà họ đã dùng nhiều lần trước đó. Mỗi người ký đều thấy một giao dịch trông hợp lệ: giao diện quen thuộc, luồng thao tác như dự kiến, không có gì làm gián đoạn phản xạ theo thói quen.

Nhưng thứ mà nhóm ký đủ ngưỡng thực sự cấp phép lại là chuyện khác. Giao dịch đó âm thầm thay đổi logic hợp đồng thông minh của chính ví, tráo vào một bản triển khai do kẻ tấn công kiểm soát. Một khi những chữ ký thật được ghi lên chuỗi, kho tiền tuân theo logic mới của nó, và khoảng 400.000 ETH cùng token staked-ETH — vào khoảng 1,5 tỷ USD ở thời điểm đó — đã ra đi. Cuộc điều tra của Safe truy vết sự xâm nhập tới một máy của lập trình viên, với mã độc được phân phối qua front end và nhắm riêng vào những người ký của Bybit; với tất cả những người khác, giao diện hoạt động bình thường. Cuối tháng 2, FBI công khai quy kết chiến dịch này cho nhóm Lazarus của Triều Tiên, được theo dõi dưới tên gọi TraderTraitor.

Hai sự thật nữa cũng xứng đáng được nhắc đến ngang hàng. Bybit vẫn giữ được khả năng thanh toán và tiếp tục xử lý các lệnh rút tiền suốt giai đoạn sau đó. Và không có tài liệu khóa nào bị trích xuất ở bất kỳ thời điểm nào: không seed phrase nào bị lừa đánh cắp, không thiết bị ký nào bị thu giữ, không ngưỡng nào bị vượt qua bằng toán học.

Các khóa vẫn đứng vững — và đó chính là mấu chốt

Một ví MultiSig đòi hỏi M trong N khóa độc lập phê duyệt một giao dịch thì tiền mới có thể di chuyển. Tính chất đó đã vận hành hoàn hảo vào ngày 21 tháng 2. Các chữ ký là thật, nhóm ký đủ ngưỡng là hợp lệ, và hợp đồng thực thi chính xác những gì đã được ký. Kẻ tấn công chưa bao giờ tìm cách đánh bại phần toán học; chúng sắp đặt để nhóm đủ ngưỡng tự nguyện ký vào một lời nói dối. Vụ hack Bybit là một thất bại của khâu kiểm chứng giao dịch, không phải của mật mã MultiSig.

Một chữ ký là một ý kiến về một payload. Nếu payload bạn đã kiểm chứng không phải là payload bạn đã ký, thì số lượng người ký chẳng còn ý nghĩa gì.

Những dòng tít giật kiểu “ví lạnh bị hack” bỏ lỡ sự phân biệt này, và sự phân biệt đó quan trọng vì nó quyết định bạn phải sửa cái gì. Kho lưu trữ lạnh đã làm đúng nhiệm vụ hẹp của nó: các khóa chưa bao giờ chạm vào một máy trực tuyến. MultiSig đã làm đúng nhiệm vụ hẹp của nó: không một người ký đơn lẻ nào có thể hành động một mình. Thành phần đã thất bại là thứ mà gần như không ai đưa vào mô hình mối đe dọa của mình — màn hình.

Blind signing, nói cho chính xác

Blind signing là việc phê duyệt một giao dịch mà người ký không thể tự mình kiểm chứng nội dung thật của nó. Trên Ethereum, thứ mà người ký phê duyệt về mặt mật mã là một hash của dữ liệu giao dịch có cấu trúc, chứ không phải bản tóm tắt dễ đọc cho con người trên màn hình. Phải có một phần mềm nào đó giải mã dữ liệu đó ngược trở lại thành ý định — địa chỉ nhận, số lượng, lời gọi hợp đồng — và người ký thừa hưởng bất cứ điều gì phần mềm đó khẳng định. Nếu giao diện nói dối, con người xác nhận một điều hư cấu trong khi chuỗi thực thi sự thật.

Giao dịch Bybit đã lợi dụng đúng khoảng trống này. Một trường dữ liệu duy nhất mà hầu hết các giao diện không hiển thị nổi bật — loại thao tác (operation type) — đã biến một lệnh chuyển tiền bề ngoài thành một delegatecall vẽ lại logic của ví. Các thiết bị ký phần cứng cũng không tự động khép lại khoảng trống này: một thiết bị chỉ hiển thị một hash khó hiểu đang yêu cầu con người kiểm chứng thứ mà không con người nào có thể đọc hiểu. Đó là kiểm chứng kiểu diễn kịch, và có thể nói là còn tệ hơn không làm gì, vì nó tạo ra sự tự tin mà không thêm chút soi xét nào.

Một front end, một nhóm đủ ngưỡng, một thất bại

Những người ký của Bybit nắm giữ các khóa độc lập, trên những thiết bị riêng biệt. Nhưng tất cả họ đều kiểm chứng giao dịch thông qua cùng một front end web, nên chỉ một giao diện bị xâm nhập đã chạm tới toàn bộ nhóm đủ ngưỡng cùng một lúc. Sự độc lập của người ký đòi hỏi các kênh kiểm chứng độc lập, chứ không chỉ các khóa độc lập. Một ví 3-of-3 mà tất cả người ký đều tin cậy vào một màn hình sẽ sụp đổ, xét về mặt thực tế, thành một ví 1-of-1 — và “1” đó là bất kỳ ai kiểm soát giao diện.

Bài học này không phụ thuộc vào sơ đồ cụ thể nào. Ví MPC thay hợp đồng on-chain bằng các mảnh khóa phân tán — chúng tôi đã so sánh những đánh đổi trong MPC vs MultiSig: một so sánh thẳng thắn — nhưng một nhóm đủ ngưỡng MPC cũng kết thúc ở đúng chỗ đó: con người phê duyệt một payload mà một giao diện nào đó đã hiển thị cho họ. Việc quá nhiều năng lượng được dồn vào những mối đe dọa xa xôi, kỳ lạ cũng nói lên điều gì đó về thứ tự ưu tiên của ngành — hồi tháng 12 chúng tôi đã xem xét máy tính lượng tử còn cách các khóa của Bitcoin bao xa — trong khi vụ trộm lớn nhất lịch sử ngành lại chẳng cần đến chút mật mã mới nào. Nó chỉ cần JavaScript.

Những bài học MultiSig thực tế từ vụ hack Bybit

Không điều nào dưới đây đòi hỏi mật mã mới hay phần cứng mới. Đó là kỷ luật vận hành — và chính vì thế mà nó bị bỏ qua.

1. Hãy coi mọi màn hình ký là không đáng tin. Giao diện dựng giao dịch của bạn trở thành mục tiêu ngay khi số dư của bạn đủ để đáng công sức. Hãy giả định rằng nó có thể nói dối bạn đúng vào ngày quan trọng nhất.
2. Kiểm chứng trên một bề mặt thứ hai, độc lập. Giải mã giao dịch thô — địa chỉ nhận, giá trị, calldata, loại thao tác — trên một thiết bị không chia sẻ gì với chiếc máy đã dựng nó. Hai màn hình cùng nói dối y hệt nhau là một cuộc tấn công khó hơn nhiều so với một màn hình nói dối đơn độc.
3. Từ chối những payload mờ đục. Nếu một người ký không thể thấy, từng tham số một, giao dịch làm gì, thì số chữ ký đúng dành cho nó là con số không. “Chắc là lệnh chuyển thường lệ thôi” chính là cách 1,5 tỷ USD ra đi.
4. Giới hạn bán kính thiệt hại. Danh sách địa chỉ được phép (whitelist), hạn mức theo ngày và theo tháng, cùng việc tách vai trò biến một lần phê duyệt sai lầm thành một khoản lỗ có trần thay vì một khoản lỗ toàn bộ. Thiệt hại của Bybit là toàn bộ đối với kho tiền đó vì không có gì ràng buộc những điều mà một giao dịch được phê duyệt duy nhất có thể làm.
5. Làm chậm lại việc thường lệ. Cuộc tấn công được ngụy trang thành thao tác bình thường nhất mà đội ngũ thực hiện, bởi vì những thao tác bình thường nhận được ít sự soi xét nhất. Thường lệ không phải là lý do để thả lỏng; nó là bộ trang phục mà kẻ tấn công sẽ chọn.

Điều này định hình việc ký tại Ownbit như thế nào

Trong số các bài học MultiSig từ vụ hack Bybit ở trên, bài học bền vững nhất mang tính cấu trúc: khâu kiểm chứng cuối cùng phải nằm ở một nơi mà chiếc máy bị xâm nhập không thể chạm tới. Quy trình ví lạnh của Ownbit được xây dựng quanh chính ý tưởng đó. Một chiếc điện thoại dự phòng trở thành một thiết bị ký air-gap; chiếc điện thoại trực tuyến chạy một ví theo dõi không giữ khóa nào, dựng giao dịch chưa ký, và chuyển nó qua dưới dạng mã QR. Chiếc điện thoại ngoại tuyến hiển thị thứ mà nó thực sự được yêu cầu ký trước khi bất kỳ chữ ký nào tồn tại, rồi trả lại chữ ký theo cùng cách đó. Bước nhảy QR được cố ý làm cho hẹp: mọi giao dịch đều bị buộc phải đi qua một bề mặt thứ hai, độc lập, và thiết bị giữ khóa không bao giờ tải trang web có thể đã bị đầu độc.

Đối với các đội nhóm, MultiSig doanh nghiệp áp dụng trực tiếp những bài học về bán kính thiệt hại: danh sách địa chỉ được phép để tiền không thể đến một địa chỉ không nằm trong danh sách bất kể ai ký, hạn mức chi tiêu theo ngày và theo tháng, các vai trò Owner, Signer và Security Admin, cùng một nút tạm dừng khẩn cấp. Những cơ chế kiểm soát này không khiến việc lừa dối trở nên bất khả thi — không gì làm được điều đó một cách trọn vẹn — nhưng chúng đặt trần cho cái giá mà một lần phê duyệt bị thao túng có thể gây ra.

Và một lời thành thật về chính chúng tôi. Máy chủ của Ownbit điều phối việc ký nhưng không bao giờ giữ khóa của người dùng; mỗi khóa trong một ví MultiSig của Ownbit là một seed phrase BIP39 tiêu chuẩn, và việc khôi phục vẫn hoạt động mà không cần hạ tầng của chúng tôi. Niềm tin được tối thiểu hóa có tác dụng theo cả hai chiều: chính thiết kế giới hạn những gì một bên điều phối bị xâm nhập có thể làm với bạn cũng là lý do chúng tôi có thể viết về tuần tồi tệ nhất của Bybit mà không giả vờ rằng mình miễn nhiễm với các cuộc tấn công có chủ đích. Thiệt hại có giới hạn, chứ không phải sự bất khả xâm phạm được tuyên bố, mới là tiêu chuẩn đáng để đòi hỏi ở các nhà cung cấp.

Câu hỏi thường gặp