Bảo mật tiền điện tử lấy con người làm trung tâm: Bài học từ vụ hack Bybit

Tác giả: Ben Charoenwong, Phó Giáo sư Tài chính, NSEAD Nguồn: coindesk Biên dịch: Shan Ouba, Golden Finance

Tổng quan về các điểm chính:

• Lỗ hổng bảo mật gần đây mà Bybit (sàn giao dịch tiền điện tử lớn thứ hai thế giới) gặp phải liên quan đến việc triển khai giải pháp Gnosis Safe trên nền tảng Web3 do chính họ xây dựng, dẫn đến khoảng 350.000 yêu cầu rút tiền.

• Các lỗ hổng bảo mật chính trong các sự cố bảo mật tiền điện tử thường bắt nguồn từ lỗi của con người thay vì lỗi kỹ thuật trong chính giao thức blockchain. Nhiều tổ chức không bảo mật hệ thống của mình đúng cách do thiếu trách nhiệm hoặc quá phụ thuộc vào các giải pháp tùy chỉnh.

• Thiết kế bảo mật trong tương lai phải lấy con người làm trung tâm, sử dụng các cơ chế như phát hiện hành vi bất thường và xác thực đa yếu tố để duy trì bảo mật ngay cả khi người dùng có thể mắc lỗi.

Bybit gần đây đã phải chịu một vụ vi phạm bảo mật nghiêm trọng liên quan đến số tiền lên tới 1,5 tỷ đô la Mỹ, gây chấn động trong ngành tài sản kỹ thuật số. Sàn giao dịch quản lý 20 tỷ đô la tài sản của khách hàng đã bị tấn công bởi những kẻ tấn công khai thác lỗ hổng kiểm soát bảo mật trong quá trình chuyển tiền thường xuyên từ "ví lạnh" ngoại tuyến sang "ví nóng" được sử dụng cho các giao dịch hàng ngày.

Các cuộc điều tra sơ bộ cho thấy lỗ hổng bảo mật liên quan đến giải pháp Web3 do Gnosis Safe tự xây dựng - ví đa chữ ký này sử dụng công nghệ mở rộng ngoài chuỗi và có kiến ​​trúc tập trung có thể nâng cấp và giao diện ký tên người dùng. Kẻ tấn công đã khai thác kiến ​​trúc có thể nâng cấp để đưa mã độc vào, biến một giao dịch chuyển tiền có vẻ bình thường thành một hợp đồng bị can thiệp, cuối cùng kích hoạt khoảng 350.000 yêu cầu rút tiền và người dùng vội vàng chuyển tiền để tự bảo vệ mình.

Mặc dù số tiền bị ảnh hưởng bởi sự cố này là rất lớn, nhưng so với tổng giá trị thị trường tiền điện tử toàn cầu (dưới 0,01%), tác động của nó vẫn nằm trong phạm vi có thể kiểm soát được. Bybit nhanh chóng cam kết sẽ bồi thường toàn bộ số tiền chưa thu hồi thông qua quỹ dự trữ hoặc các khoản vay đối tác, chứng tỏ năng lực hoạt động trưởng thành của mình.

Tuy nhiên, kể từ khi tiền điện tử ra đời, rủi ro bảo mật lớn nhất luôn đến từ lỗi của con người thay vì lỗ hổng trong chính giao thức blockchain. Nghiên cứu cho thấy trong thập kỷ qua, hầu hết các sự cố bảo mật tiền điện tử lớn đều do yếu tố con người gây ra. Chỉ tính riêng năm 2024, khoảng 2,2 tỷ đô la đã bị đánh cắp trong những vụ việc như vậy.

Điều đáng chú ý hơn là lý do tại sao các cuộc tấn công này xảy ra liên tục lại giống nhau đến ngạc nhiên: nhiều tổ chức không bảo vệ hiệu quả hệ thống của mình, thường là vì họ không muốn đảm nhận rõ ràng trách nhiệm bảo mật hoặc mù quáng tin tưởng vào các giải pháp bảo mật tùy chỉnh, lầm tưởng rằng nhu cầu của họ "hoàn toàn khác" so với khuôn khổ bảo mật hiện có. Thực hành tái tạo các biện pháp bảo mật thay vì áp dụng các giải pháp đã được chứng minh tiếp tục tạo ra các lỗ hổng mới.

Mặc dù công nghệ blockchain và mật mã đã được chứng minh là có tính bảo mật cao, nhưng rủi ro bảo mật lớn nhất vẫn là chính con người. Từ người dùng cá nhân trong những ngày đầu của tiền điện tử cho đến các ứng dụng cấp tổ chức ngày nay, xu hướng này vẫn không thay đổi và rất giống với những thách thức về an ninh mạng của các ngành công nghiệp truyền thống.

Các lỗi thường gặp của con người bao gồm:

• Quản lý khóa riêng kém: việc mất, sử dụng sai hoặc tiết lộ khóa riêng có thể dẫn đến trộm cắp tài sản.

• Các cuộc tấn công kỹ thuật xã hội: Tin tặc sử dụng lừa đảo, mạo danh và các phương tiện khác để lừa nạn nhân tiết lộ thông tin nhạy cảm.

Sự cố này một lần nữa cảnh báo ngành công nghiệp: bảo mật mã hóa không thể chỉ dựa vào công nghệ mà phải xây dựng hệ thống bảo mật lấy con người làm trung tâm để giải quyết những sai sót không thể tránh khỏi của con người.

Các giải pháp bảo mật lấy con người làm trung tâm

Các giải pháp hoàn toàn mang tính kỹ thuật không thể giải quyết được các vấn đề về cơ bản là do con người gây ra. Trong khi ngành công nghiệp đã đầu tư hàng tỷ đô la vào các biện pháp an ninh kỹ thuật thì lại có rất ít khoản đầu tư được thực hiện để giải quyết các yếu tố con người gây ra tình trạng vi phạm liên tục.

Một rào cản đối với bảo mật hiệu quả là sự miễn cưỡng thừa nhận quyền sở hữu và trách nhiệm đối với các hệ thống dễ bị tấn công. Khi các tổ chức không xác định rõ ràng những gì họ kiểm soát (hoặc khăng khăng rằng môi trường của họ quá đặc biệt để áp dụng các nguyên tắc bảo mật đã thiết lập), họ sẽ tạo ra điểm mù mà kẻ tấn công có thể dễ dàng khai thác.

Điều này minh họa cho những gì mà chuyên gia bảo mật Bruce Schneier gọi là luật bảo mật: các hệ thống được thiết kế độc lập bởi các nhóm tin tưởng vào tính độc đáo của mình hầu như luôn chứa các lỗ hổng nghiêm trọng có thể được giải quyết bằng các biện pháp bảo mật đã được thiết lập. Ngành công nghiệp tiền điện tử đã liên tục rơi vào cái bẫy này, thường phải xây dựng lại toàn bộ khuôn khổ bảo mật thay vì áp dụng các phương pháp đã được chứng minh từ tài chính truyền thống và bảo mật thông tin.

Điều quan trọng là phải chuyển sang mô hình thiết kế bảo mật lấy con người làm trung tâm. Trớ trêu thay, trong khi tài chính truyền thống phát triển từ xác thực một yếu tố (mật khẩu) sang xác thực đa yếu tố (MFA), thì tiền điện tử ban đầu lại đơn giản hóa bảo mật thành xác thực một yếu tố thông qua khóa riêng hoặc cụm từ hạt giống, cung cấp bảo mật chỉ thông qua mã hóa. Sự đơn giản hóa quá mức này rất nguy hiểm và khiến ngành công nghiệp này nhanh chóng khai thác nhiều lỗ hổng và kẽ hở khác nhau. Sau khi chịu tổn thất hàng tỷ đô la, chúng tôi phát hiện ra rằng tài chính truyền thống đã áp dụng các phương pháp bảo mật tinh vi hơn.

Các giải pháp hiện đại và kỹ thuật giám sát phải thừa nhận rằng lỗi của con người là điều không thể tránh khỏi và thiết kế các hệ thống vẫn an toàn ngay cả khi những lỗi này xảy ra, thay vì cho rằng con người tuân thủ đầy đủ các giao thức an toàn. Điều quan trọng là công nghệ này không làm thay đổi các động cơ cơ bản. Việc thực hiện nó sẽ gây ra chi phí trực tiếp, trong khi việc tránh nó lại có nguy cơ gây tổn hại đến danh tiếng.

Các cơ chế bảo mật phải phát triển không chỉ để bảo vệ các hệ thống kỹ thuật mà còn dự đoán được lỗi của con người và bảo vệ chống lại những cạm bẫy thường gặp. Thông tin xác thực tĩnh, chẳng hạn như mật khẩu và mã thông báo xác thực, không đủ để bảo vệ chống lại những kẻ tấn công lợi dụng hành vi có thể dự đoán của con người. Hệ thống an ninh nên tích hợp tính năng phát hiện bất thường về hành vi để đánh dấu hoạt động đáng ngờ.

Việc lưu trữ khóa riêng ở một vị trí dễ truy cập duy nhất gây ra rủi ro bảo mật đáng kể. Việc lưu trữ khóa giữa môi trường ngoại tuyến và trực tuyến giúp giảm thiểu nguy cơ đánh cắp toàn bộ khóa. Ví dụ, việc lưu trữ một phần khóa trên mô-đun bảo mật phần cứng trong khi giữ phần còn lại ngoại tuyến có thể tăng cường bảo mật bằng cách yêu cầu nhiều lần xác minh để có quyền truy cập đầy đủ—giới thiệu lại nguyên tắc xác thực đa yếu tố vào bảo mật tiền điện tử.

Các bước thực hiện cho phương pháp tiếp cận bảo mật lấy con người làm trung tâm

Một khuôn khổ bảo mật toàn diện lấy con người làm trung tâm phải giải quyết các lỗ hổng ở nhiều cấp độ của tiền điện tử và áp dụng phương pháp tiếp cận phối hợp trên toàn bộ hệ sinh thái thay vì các giải pháp riêng lẻ.

Đối với người dùng cá nhân, giải pháp ví phần cứng vẫn là tiêu chuẩn tốt nhất. Tuy nhiên, nhiều người dùng thích sự tiện lợi hơn trách nhiệm bảo mật, vì vậy lựa chọn tốt nhất tiếp theo là các sàn giao dịch áp dụng các biện pháp tài chính truyền thống: thời gian chờ mặc định (nhưng có thể điều chỉnh) cho các khoản chuyển tiền lớn, hệ thống tài khoản theo tầng với các cấp độ ủy quyền khác nhau và giáo dục bảo mật theo ngữ cảnh được kích hoạt tại các thời điểm quyết định quan trọng.

Các sàn giao dịch và tổ chức phải chuyển từ việc giả định người dùng tuân thủ hoàn toàn sang thiết kế các hệ thống có thể dự đoán lỗi của con người. Điều này bắt đầu bằng việc xác nhận rõ ràng các thành phần và quy trình mà họ kiểm soát và do đó chịu trách nhiệm đảm bảo an ninh.

Việc phủ nhận hoặc làm mờ ranh giới trách nhiệm sẽ trực tiếp làm suy yếu các nỗ lực đảm bảo an toàn. Khi trách nhiệm giải trình đã được thiết lập, các tổ chức nên triển khai phân tích hành vi để phát hiện các mô hình bất thường, yêu cầu ủy quyền nhiều bên đối với các giao dịch chuyển tiền có giá trị cao và triển khai "bộ ngắt mạch" tự động để hạn chế thiệt hại tiềm ẩn trong trường hợp xảy ra xâm phạm.

Ngoài ra, tính phức tạp của các công cụ Web3 cũng tạo ra bề mặt tấn công rất lớn. Việc đơn giản hóa và áp dụng một mô hình bảo mật đã được thiết lập có thể giảm thiểu lỗ hổng mà không làm mất đi chức năng.

Ở cấp độ ngành, các cơ quan quản lý và lãnh đạo có thể thiết lập các yêu cầu về yếu tố con người được chuẩn hóa trong chứng nhận an toàn, nhưng phải có sự đánh đổi giữa tính đổi mới và tính an toàn. Sự cố Bybit là ví dụ điển hình cho cách hệ sinh thái tiền điện tử đã phát triển từ những ngày đầu mong manh thành một cơ sở hạ tầng tài chính kiên cường hơn. Trong khi các vi phạm an ninh vẫn tiếp diễn - và có khả năng sẽ luôn như vậy - thì bản chất của chúng đã chuyển từ các mối đe dọa hiện hữu có thể phá hủy niềm tin vào khái niệm tiền điện tử sang các thách thức về hoạt động đòi hỏi các giải pháp kỹ thuật liên tục.

Tương lai của bảo mật mật khẩu không nằm ở việc theo đuổi mục tiêu bất khả thi là loại bỏ mọi lỗi của con người, mà nằm ở việc thiết kế các hệ thống vẫn an toàn bất chấp lỗi của con người là điều không thể tránh khỏi. Điều này trước tiên đòi hỏi phải xác định khía cạnh nào của hệ thống thuộc trách nhiệm của tổ chức, thay vì duy trì sự mơ hồ dẫn đến lỗ hổng bảo mật.

Bằng cách thừa nhận những hạn chế của con người và xây dựng các hệ thống phù hợp với chúng, hệ sinh thái tiền điện tử có thể tiếp tục phát triển từ sự tò mò mang tính đầu cơ thành cơ sở hạ tầng tài chính mạnh mẽ, thay vì cho rằng nó tuân thủ hoàn hảo các giao thức bảo mật.

Trong thị trường đang phát triển này, chìa khóa để bảo mật mật mã hiệu quả không nằm ở các giải pháp kỹ thuật phức tạp hơn mà nằm ở thiết kế chu đáo hơn, lấy con người làm trung tâm. Bằng cách ưu tiên các kiến ​​trúc bảo mật có tính đến thực tế hành vi và hạn chế của con người, chúng ta có thể xây dựng một hệ sinh thái tài chính kỹ thuật số kiên cường hơn, tiếp tục hoạt động an toàn khi (không phải nếu) xảy ra lỗi của con người.