Làn sóng phản đối Ledger Recover dạy chúng ta điều gì về self-custody

Ngày 16 tháng 5, Ledger — nhà sản xuất những chiếc ví phần cứng bán chạy nhất — công bố Recover: một dịch vụ đăng ký tùy chọn giúp sao lưu seed phrase của bạn bằng cách mã hóa nó bên trong thiết bị, chia thành ba mảnh, rồi gửi các mảnh đó cho ba bên lưu ký. Chỉ trong vài giờ, thông báo này đã trở thành làn sóng phản đối Ledger Recover — một trong những phản ứng dữ dội nhất mà giới self-custody chứng kiến trong nhiều năm, kèm theo những dòng tweet bị xóa, những cuộc phỏng vấn được sắp xếp vội vã và, cuối cùng, một kế hoạch ra mắt bị tạm hoãn. Ba tuần trôi qua, khi cơn nóng giận đã dịu bớt đôi chút, cũng đáng để hỏi rằng sự việc này thực sự chứng minh điều gì.

Câu trả lời của chúng tôi, xin nói thẳng ngay từ đầu: cuộc tranh cãi chưa bao giờ thực sự xoay quanh một dịch vụ tùy chọn. Nó xoay quanh sự sụp đổ công khai của một giả định — rằng khóa riêng về mặt vật lý không thể rời khỏi secure element của một chiếc ví phần cứng — điều hóa ra chỉ là một chính sách chứ không phải một quy luật tự nhiên. Sự an toàn mà bạn không thể kiểm chứng chỉ là một lời hứa, và một lời hứa có thể thay đổi chỉ sau một lần cập nhật firmware.

Ledger Recover thực sự làm gì

Gạt cơn phẫn nộ sang một bên thì cơ chế của nó rất dễ mô tả. Ledger Recover là một dịch vụ đăng ký tùy chọn, có giá khoảng 10 USD mỗi tháng, mã hóa seed phrase của ví ngay bên trong thiết bị, chia phần dữ liệu đã mã hóa thành ba mảnh, rồi phân phối chúng cho ba công ty riêng biệt: chính Ledger, Coincover và EscrowTech. Không một bên lưu ký đơn lẻ nào nắm đủ thông tin để tái tạo lại seed. Để khôi phục, người dùng xác minh danh tính bằng một giấy tờ tùy thân do chính phủ cấp; sau đó hai trong ba bên lưu ký giải phóng mảnh của mình tới một thiết bị mới, nơi seed được ghép lại.

Dịch vụ này đến cùng với một bản cập nhật firmware cho Nano X và đòi hỏi phải đăng ký một cách tường minh: không có gì được sao lưu trừ khi chủ sở hữu đăng ký, xác nhận trên thiết bị và vượt qua bước xác minh danh tính. Ledger luôn nhất quán về điểm này từ đầu đến cuối, và không có bằng chứng công khai nào bác bỏ điều đó.

Vì sao làn sóng phản đối lại dữ dội đến vậy

Nếu dịch vụ là tùy chọn, thì cơn giận từ đâu ra? Bởi vì thông báo đã hé lộ một khả năng, chứ không chỉ một sản phẩm. Để Recover có thể tồn tại, firmware của Ledger buộc phải có khả năng đưa dữ liệu seed — dù đã được mã hóa và phân mảnh, nhưng vẫn là dữ liệu seed — ra khỏi secure element và ra khỏi thiết bị. Một bộ phận lớn khách hàng của Ledger đã tin tưởng một cách chân thành rằng điều này là bất khả thi ngay từ trong thiết kế, và chính hoạt động marketing của công ty đã nuôi dưỡng niềm tin đó: một bài đăng từ nhiều tháng trước của một tài khoản chính thức khẳng định rằng khóa riêng không bao giờ rời khỏi secure element đã được đào lại chỉ trong vài giờ và được chia sẻ không ngừng nghỉ.

Khoảnh khắc mang tính định đoạt của làn sóng phản đối Ledger Recover đến khi một trong các tài khoản chính thức của Ledger thừa nhận rằng về mặt kỹ thuật, việc viết firmware hỗ trợ trích xuất khóa vốn luôn khả thi. Bài đăng nhanh chóng bị xóa, nhưng ảnh chụp màn hình đã ở khắp nơi — và phát biểu đó là chính xác. Đó chính là điều gây nhức nhối: không phải một backdoor được giấu kín, mà là nhận thức rằng rào chắn giữa khóa của người dùng và thế giới bên ngoài từ trước đến nay luôn phụ thuộc vào việc firmware đã ký chọn làm gì.

Hai mối lo ngại nữa đã khuếch đại phản ứng này. Thứ nhất là danh tính: Recover gắn một giấy tờ tùy thân đã xác minh do chính phủ cấp với một chiếc ví phần cứng, một sự ghép nối gây khó chịu cho những người chọn self-custody một phần vì quyền riêng tư. Thứ hai là sự tập trung: ba công ty được nêu tên đang giữ các mảnh nghĩa là ba đối tượng có thể bị triệu tập, ba bề mặt có thể bị tấn công, và ba nơi mà một thay đổi chính sách trong tương lai có thể tạo ra khác biệt.

Bạn vốn luôn phải tin tưởng firmware

Đây là phần khiến người ta khó chịu, và nó vượt xa khỏi phạm vi một nhà sản xuất. Một secure element bảo vệ khóa trước việc bị trích xuất và can thiệp vật lý; nó không quyết định firmware của thiết bị được phép yêu cầu gì từ nó. Bất kỳ thiết bị đóng nào tạo ra và nắm giữ khóa của bạn đều yêu cầu bạn tin tưởng vào khóa ký mã (code-signing) của nhà sản xuất, quy trình phát hành, nhân viên và khả năng chống chịu trước áp lực pháp lý — trong suốt mỗi năm mà thiết bị còn được sử dụng.

Self-custody không phải là chuyện có hoặc không; nó là một chồng các giả định niềm tin — phần cứng, firmware, phần mềm và quy trình — và câu hỏi hữu ích là bạn có thể độc lập kiểm chứng những tầng nào. Không có gì trong các sự kiện tháng 5 làm thay đổi chồng giả định đó. Điều thay đổi là một lượng khán giả rất lớn lần đầu tiên nhìn thấy nó một cách rõ ràng.

Chúng tôi cũng nên nói thẳng về vị trí của chính mình trong chồng giả định đó. Ứng dụng Ownbit là mã nguồn đóng, giống như hầu hết các ứng dụng ví. Phản ứng trung thực trước thực tế đó không phải là giả vờ như niềm tin không tồn tại, mà là thu hẹp những gì nó phải bao trùm, và đó chính là cách mô hình bảo mật của chúng tôi được xây dựng: các contract MultiSig là mã nguồn mở, mỗi khóa trong một MultiSig của Ownbit là một seed phrase BIP39 tiêu chuẩn, và tài sản vẫn có thể khôi phục mà không cần đến máy chủ của Ownbit bằng cách làm theo các hướng dẫn tự khôi phục đã công bố. Thước đo của một chiếc ví không phải là bạn có tin tưởng nhà cung cấp hay không — ở đâu đó, bạn vẫn phải tin — mà là niềm tin ấy cần bao trùm ít đến mức nào và bạn có thể tự kiểm tra được bao nhiêu phần trong đó.

Vấn đề mà Recover muốn giải quyết là có thật

Giữa cơn hùa nhau chỉ trích, người ta rất dễ quên rằng Ledger đang nhắm tới một kiểu thất bại thực sự. Những ước tính được đưa tin rộng rãi từ lâu đã cho thấy khoảng một phần năm toàn bộ số bitcoin đang mắc kẹt trong những chiếc ví đã mất khóa. Một seed phrase trên một tờ giấy duy nhất là một điểm lỗi duy nhất theo cả hai chiều: bất kỳ ai tìm thấy nó đều có thể lấy đi tất cả, và nếu nó cháy, ngập nước, hoặc đơn giản là bị quên mất, thì tất cả cũng mất theo. Các sàn giao dịch đã giải quyết điều này bằng tài khoản và bộ phận hỗ trợ, với cái giá là quyền lưu ký — một sự đánh đổi mà cả ngành đã nhiều lần có lý do để hối tiếc.

Vậy nên tham vọng đó xứng đáng được nhìn nhận công bằng. Ví phần cứng, các dịch vụ MPC và những bên lưu ký được quản lý — mỗi loại đều phục vụ những người dùng thật với những nhu cầu thật, và một dịch vụ khôi phục có bảo hiểm thực sự sẽ phù hợp với một số trong họ. Phản đối nằm ở trung tâm của làn sóng Ledger Recover thì hẹp hơn thế: dịch vụ này đã lặng lẽ viết lại mô hình niềm tin của một thiết bị mà người ta đã mua rồi, và việc viết lại đó không thể được kiểm toán độc lập chừng nào firmware còn đóng.

Chia nhỏ một bí mật không phải là chia nhỏ quyền kiểm soát

Thiết kế ba mảnh, hai mảnh là khôi phục được của Recover thoạt nghe có vẻ giống MultiSig. Nhưng khác biệt mới chính là điều cốt lõi. Phân mảnh seed chia nhỏ một bí mật rốt cuộc vẫn phải được ghép lại: vào thời điểm khôi phục, khóa hoàn chỉnh lại tồn tại ở một nơi, và mọi thứ đều phụ thuộc vào các bên và quy trình thực hiện việc ghép lại đó. MultiSig thì chia nhỏ chính quyền kiểm soát. Hai hoặc ba seed phrase độc lập, được tạo trên các thiết bị riêng biệt bởi những người khác nhau, không bao giờ kết hợp ở bất cứ đâu; một ví 2-of-3 cần hai chữ ký on-chain, và không hề có nghi thức nào mà một cỗ máy giữ toàn bộ mọi thứ dù chỉ trong chốc lát.

Chính sự phân biệt đó là lý do MultiSig đã là thiết kế cốt lõi của Ownbit kể từ năm 2017. Mỗi người tham gia giữ một seed phrase BIP39 tiêu chuẩn, các quy tắc ký được thực thi bởi blockchain chứ không phải bởi lời hứa của một công ty, và máy chủ của Ownbit điều phối các chữ ký mà không bao giờ nắm giữ một khóa nào. Mất một khóa vẫn sống sót, đánh cắp một khóa thì vô dụng, và không một bên lưu ký nào — kể cả chúng tôi — lưu trữ bất cứ thứ gì có thể chuyển tiền.

Điều rút ra được, tính đến tháng 6 năm 2023

Thứ nhất: không có lý do gì để hoảng loạn. Không có gì trong ba tuần qua chứng minh một lỗ hổng bị khai thác, một vụ trộm, hay một thiết bị bị bẻ khóa, và một chiếc Ledger chưa đăng ký Recover vẫn đối mặt với đúng những rủi ro thực tế như hồi tháng 4. Nếu bạn sở hữu một chiếc, phản ứng hợp lý là những phản ứng bình tĩnh — cập nhật firmware một cách thận trọng, và xem xét lại xem bạn đang tin tưởng vào điều gì thay vì phản ứng theo những gì bạn được nghe.

Thứ hai: hãy kiểm kê lại các giả định niềm tin của bạn khi bài học còn mới. Những phần nào trong thiết lập của bạn chỉ là lời hứa, và những phần nào là có thể kiểm chứng? Một bài tập hữu ích là, với mỗi chiếc ví bạn dùng, hãy tự hỏi nhà cung cấp của nó có thể làm gì — không phải sẽ làm, mà là có thể làm — và liệu bạn có phát hiện ra hay không nếu họ thực sự làm.

Thứ ba: với những khoản số dư quan trọng, hãy ngừng phụ thuộc vào bất kỳ một khóa đơn lẻ hay một công ty đơn lẻ nào. Phân tán quyền kiểm soát qua một MultiSig 2-of-3 loại bỏ chính điểm lỗi duy nhất mà Recover nhắm tới, mà không phải trao cho bất kỳ bên lưu ký nào một bản sao seed có thể tái tạo được. Tính đến thời điểm viết bài này, Ledger đã tạm hoãn việc triển khai Recover và cam kết mở mã nguồn nhiều hơn cho phần code của mình trước khi ra mắt — đúng hướng, và là một điều nên được đánh giá theo cách mà mọi thứ trong ngành này nên được đánh giá: bằng những gì có thể kiểm chứng khi nó được phát hành. Bài học lâu bền của làn sóng phản đối Ledger Recover là: khoảng cách giữa “không thể” và “sẽ không” chính là toàn bộ chủ đề của self-custody, và người dùng có quyền biết mình đã mua thứ nào trong hai điều đó.

Câu hỏi thường gặp