Tác giả: Liam 'Akiba' Wright, cryptoslate
Biên dịch: Saoirse, Foresight News
Trong vòng bốn ngày, ba mạng lưới blockchain lần lượt ngừng sản xuất khối. Mỗi lần mạng ngừng hoạt động đều vận dụng các quyền hạn khẩn cấp hoàn toàn khác nhau, trong đó chỉ có Cronos là đã sửa đổi một phần lịch sử chuỗi chính thức.
Phía Cronos cho biết, sau khi giao thức Tectonic bị tấn công lỗ hổng, các nút xác thực đã tắt mạng thông qua cơ chế đồng thuận, khôi phục chuỗi về trạng thái trước khi cuộc tấn công xảy ra và khởi động lại việc sản xuất khối từ độ cao khối 90,896,189. Thao tác này không chỉ dừng việc tạo khối mà còn trực tiếp sửa đổi trạng thái chuỗi. Các giao dịch và thay đổi trạng thái được tạo ra sau điểm khôi phục, tất cả đều không còn thuộc về chuỗi chính thức sau khi khởi động lại.
Ontology và ICON lại áp dụng một bộ biện pháp ứng phó khác. Ontology đã tạm dừng việc tạo khối trước khi xác nhận hành vi tấn công độc hại, thông báo cập nhật ngày 1 tháng 9 của họ cho biết, hoạt động độc hại này đã không gây thiệt hại tài sản cho người dùng. ICON đầu tiên tạm dừng hợp đồng bị tấn công, sau đó mới tắt toàn mạng; và Quỹ cho biết, mạng đang trong giai đoạn di chuyển do họ kiểm soát, lúc đó phần lớn số ICX bị đánh cắp đã được chuyển vào tài khoản được ủy thác của sàn giao dịch.
Việc blockchain ngừng hoạt động chỉ là biện pháp kiểm soát ở lớp thứ nhất. Vấn đề sâu xa hơn là: Ai có quyền ra lệnh tắt mạng? Họ có thể sửa đổi trạng thái chuỗi đã được xác nhận không? Khi tiền chuyển qua chuỗi khác hoặc vào các tổ chức ủy thác tập trung, những tổn thất nào sẽ không thể khắc phục?
Mạng lưới | Sự kiện kích hoạt | Biện pháp ứng phó | Thông tin quyền hạn được tiết lộ | Đã biết rủi ro khôi phục
Cronos | Tấn công lỗ hổng Tectonic | Tắt mạng và khôi phục về trạng thái chuỗi trước khi lỗ hổng xảy ra | Đồng thuận của người xác thực; Thông báo khởi động lại không tiết lộ dữ liệu bỏ phiếu và ngưỡng bỏ phiếu | Mọi hoạt động trên chuỗi sau điểm kiểm tra đều bị hủy bỏ; Tiền chuyển đến Ethereum nằm ngoài phạm vi kiểm soát của Cronos; Thống kê tổn thất cuối cùng của giao thức Tectonic chưa hoàn thành
Ontology | Kiểm tra định kỳ phát hiện rủi ro tiềm ẩn, sau đó xác nhận có hoạt động độc hại | Tạm dừng phòng ngừa việc sản xuất khối, không tiến hành quay lui | Đội ngũ phát triển cốt lõi, đội ngũ kỹ thuật và các nút xác thực tham gia; Không tiết lộ ngưỡng kích hoạt xử lý khẩn cấp | Giao dịch không thể thực thi trong thời gian sửa chữa và nâng cấp mạng; Không phát hiện tài sản người dùng bị tổn hại
ICON | Hợp đồng di chuyển có lỗ hổng tái phát | Đầu tiên tạm dừng hợp đồng, sau đó tắt toàn mạng | Trong giai đoạn di chuyển, mạng do Quỹ kiểm soát, số lượng nút xác thực cốt lõi bị giảm | Tổn thất do Quỹ chịu trách nhiệm; Việc ICX lưu trữ trên sàn giao dịch có thể truy hồi hay không phụ thuộc vào bên ủy thác, quy trình pháp lý và cơ quan thực thi pháp luật
So sánh cách thức xử lý khẩn cấp của ba blockchain công khai Cronos, Ontology, ICON
Cronos: Từ ngừng hoạt động đến sửa đổi trạng thái chuỗi
Cronos gọi việc xử lý sự kiện này là "Hành động khẩn cấp đồng thuận của người xác thực". Thông báo khởi động lại ngày 31 tháng 8 cho thấy, vào 23:49:01 UTC ngày 30 tháng 8, mạng đã khôi phục việc tạo khối từ độ cao khối 90,896,189, trạng thái chuỗi được quay trở lại trước khi cuộc tấn công lỗ hổng Tectonic xảy ra.
Thao tác tạm dừng của Cronos có nghĩa là đưa ra lựa chọn phân bổ lợi ích đối với điểm khôi phục. Sau điểm kiểm tra, trạng thái trên chuỗi liên quan đến lỗ hổng, cùng với tất cả các giao dịch không liên quan trong khoảng thời gian đó, đều bị xóa khỏi chuỗi chính thức. Thông báo khởi động lại không kèm theo danh sách giao dịch, thống kê nút xác thực, ngưỡng trọng số bỏ phiếu cũng như danh sách các nút tham gia. Cronos cam kết sẽ công bố báo cáo tổng kết sau sự kiện, cần giải thích đầy đủ quy trình xử lý và phạm vi tác động kỹ thuật.
Ngay cả quy mô tài sản thực tế được bảo vệ bởi lần can thiệp này cũng chưa có kết luận. TRM Labs ước tính, sau khi giá token TONIC bị thao túng, khoảng 75 triệu đô la tài sản đã bị vay; trong đó khoảng 6 triệu đô la chảy sang Ethereum, khoảng 68,7 triệu đô la trong chuỗi Cronos đã được quay lui. Thống kê của Bitquery đưa ra tổng quy mô dòng chảy ra cao hơn, khoảng 8,3 triệu đô la tài sản chảy sang Ethereum, tổng cộng 10.961 khối bị hủy bỏ.
Hai cách tính thống kê khác nhau về đối tượng thống kê, dữ liệu tổn thất cuối cùng chính thức của Tectonic vẫn đang chờ công bố. Nhưng có một điểm đã rất rõ ràng: Việc quay lui của Cronos chỉ có thể khôi phục trạng thái vẫn còn nằm trong chuỗi nội bộ, tài sản trên chuỗi Ethereum hoàn toàn không nằm trong phạm vi kiểm soát của họ.
Phương án xử lý tài sản của Tectonic vẫn để lại vấn đề kế toán người dùng. Giao thức này cho biết sẽ ưu tiên mở chức năng rút tiền và trả nợ khoản vay, đồng thời tạm dừng gửi tiền và vay mới. Phương án này cung cấp lộ trình thoát và giảm đòn bẩy cho người dùng, nhưng bên cung cấp vốn có thể rút toàn bộ số tiền hay không vẫn chưa được xác nhận. Báo cáo sau sự kiện mà Tectonic sắp công bố còn cần làm rõ nguyên lý lỗ hổng, tổng dòng tiền chảy ra, quy mô nợ xấu, tài sản đã thu hồi và các khoản nợ còn lại.
Tiến độ phục hồi của các loại cơ sở hạ tầng khác nhau không đồng bộ với việc khởi động lại đồng thuận chuỗi. Cronos nhắc nhở, các giao thức, cầu nối chuỗi chéo, trình duyệt khối và dịch vụ RPC cần nhiều thời gian hơn để phục hồi. Trang trạng thái của Alchemy cũng ghi lại riêng lần ngừng hoạt động và khôi phục sau này. Mạng lưới chuỗi có thể tuyên bố khởi động lại chính thức, nhưng các dịch vụ phụ thuộc vào nó chưa chắc đã sẵn sàng.
Ontology: Tạm dừng chỉ để giành thời gian xử lý, không hủy giao dịch
Hành động xử lý của Ontology diễn ra trước khi xác nhận hoạt động độc hại. Mạng cho biết đội ngũ phát triển cốt lõi phát hiện nguy cơ bảo mật tiềm ẩn trong quá trình kiểm tra định kỳ hàng ngày, lập tức tạm dừng việc sản xuất khối, giao cho đội ngũ kỹ thuật và các nút xác thực tiến hành rà soát hệ thống.
Thông báo cập nhật ngày 1 tháng 9 cho biết, việc rà soát đã xác nhận có hành vi tấn công độc hại, mạng chính sẽ tiếp tục ngừng hoạt động, tiến hành sửa lỗi và nâng cấp mạng; cuộc tấn công này không xâm phạm tài sản người dùng. Mục tiêu của Ontology là khôi phục hoạt động bình thường trong vòng 24 giờ, với điều kiện tất cả việc phát hiện an ninh, sửa lỗi, nâng cấp và kiểm thử đều hoàn thành suôn sẻ.
Việc tạm dừng của Ontology giữ nguyên toàn bộ trạng thái trên chuỗi đã được xác nhận, chỉ dừng việc xác nhận và thanh toán các giao dịch mới. Thông báo không chỉ định điểm khôi phục, cũng không công bố tập hợp giao dịch cần hủy bỏ.
Thông tin quyền hạn được công khai tiết lộ không đầy đủ. Thông báo đề cập đến đội ngũ phát triển cốt lõi, đội ngũ kỹ thuật và các nút xác thực mạng tham gia xử lý, nhưng không nói rõ ai là người ra quyết định có ràng buộc cuối cùng, cũng không đưa ra ngưỡng xử lý khẩn cấp dưới dạng số. Tài liệu VBFT của Ontology mô tả cơ chế đồng thuận thông thường, bao gồm việc các nút tạo khối xác nhận, quản lý cập nhật hợp đồng tập hợp nút đồng thuận, nhưng tài liệu chỉ bao phủ các tình huống vận hành bình thường, quy tắc tạm dừng khẩn cấp được sử dụng vào ngày 31 tháng 8 không được công khai.
Ngay cả khi không gây thiệt hại tài sản, việc tạm dừng vẫn mang lại chi phí thực tế. Ontology thông báo cho người dùng rằng giao dịch trên chuỗi sẽ không thể xử lý, khuyến nghị không thực hiện các thao tác nhạy cảm về thời gian; sau đó cho biết việc khởi động lại mạng phụ thuộc vào việc sửa lỗi, nâng cấp và kiểm thử. Người dùng không thể điều chỉnh vị thế nắm giữ, chuyển khoản thanh toán trên chuỗi, tất cả các dịch vụ bên ngoài kết nối với chuỗi này chỉ có thể chờ đợi tín hiệu mạng.
Tiêu chuẩn đánh giá khôi phục vận hành hướng đến an toàn, nhưng chi tiết cụ thể có hạn. Ontology cho biết chỉ cần sửa chữa, nâng cấp, kiểm thử và xác minh tất cả hoàn thành, nỗ lực khôi phục dịch vụ trong 24 giờ, nhưng ai là người đánh giá điều kiện đạt được, ngưỡng kích hoạt là bao nhiêu, thì không được tiết lộ ra bên ngoài.
Từ đó mang lại sự không chắc chắn về mặt quản trị: Thông báo ghi rõ các bên tham gia rà soát, nhưng chủ thể có quyền quyết định khởi động lại cuối cùng không được xác định rõ. Đối với người dùng, rủi ro hiện tại đến từ việc gián đoạn dịch vụ, chứ không phải tổn thất tài sản xác định hay việc quay lui chuỗi.
ICON: Tại sao việc blockchain ngừng hoạt động cũng đã quá muộn
Sự kiện của ICON thể hiện đầy đủ toàn bộ quá trình cảnh báo, xử lý, tài sản thoát khỏi phạm vi kiểm soát chuỗi.
Theo báo cáo tổng kết sau sự kiện của Quỹ, từ 02:01:02 đến 02:21:12 UTC ngày 27 tháng 8, kẻ tấn công đã tái phát 1492 lần hai tin nhắn rút tiền có chữ ký hợp lệ trong lịch sử. Lỗi thiếu chính xác khiến 1490 lần trong số đó gọi thành công, chuyển ra khỏi nhóm tài sản của Quỹ 119,866 triệu ICX và 531.600 bnUSD.
Hệ thống giám sát đã phát cảnh báo lúc 02:08, nhân viên kỹ thuật sau đó mới tiến hành điều tra; hợp đồng bị ảnh hưởng bị tạm dừng lúc 03:53. Các sàn giao dịch lớn lần lượt đóng nạp/rút ICX vào khoảng 05:54, việc ngừng hoạt động toàn mạng chính thức có hiệu lực vào lúc 06:18:54. ICON hoàn tất việc khởi động lại vào khoảng 07:51 ngày 28 tháng 8, cách khoảng 25 giờ, đồng thời sửa lỗi cơ bản.
Báo cáo tổng kết cho rằng nguồn gốc vấn đề là quy trình phản ứng sự kiện, chứ không phải khả năng phát hiện không đủ. Cảnh báo đã được kích hoạt trong vòng 7 phút, nhưng loại cảnh báo này thường bị nhầm lẫn với các lỗi RPC không liên quan, hệ thống không thông báo cho nhân viên trực. Điều tra kỹ thuật đến khoảng 03:40 mới bắt đầu, không lâu sau đó hợp đồng mới bị tạm dừng.
Đến khi chuỗi chính thức ngừng hoạt động, phần lớn ICX bị ảnh hưởng đã được các sàn giao dịch đưa vào hệ thống ủy thác của chính họ. Biện pháp kiểm soát từ phía chuỗi ICON không thể ngăn cản sàn giao dịch chuyển đổi hoặc chuyển đổi tài sản mà họ nắm giữ. Quỹ chỉ có thể dựa vào việc đóng băng tài sản của sàn giao dịch, thông báo bảo toàn, luật sư và cơ quan thực thi pháp luật để xử lý.
Ranh giới ủy thác trực tiếp quyết định việc phân bổ tổn thất. ICON cho biết toàn bộ tài sản bị ảnh hưởng đều thuộc về Quỹ, tiền gửi, số dư và vị thế nắm giữ của người dùng thông thường đều không bị chạm đến. Báo cáo cho thấy 531.600 bnUSD, 1,366 triệu SODA đã được thu hồi toàn bộ; trong số 113.634 USDC cho vay, 82.430 đã hoàn tất thu hồi. Tổn thất ròng được xác nhận là khoảng 150,2 ETH, cộng với 31.204 USDC. Phần lớn số ICX liên quan chỉ bị đóng băng hoặc theo dõi trên sàn giao dịch, chưa thực sự được truy hồi.
Cấu trúc kiểm soát của ICON cũng có sự khác biệt so với hai trường hợp còn lại. Báo cáo tổng kết ghi rõ trong thời gian di chuyển token, mạng do Quỹ kiểm soát; tài liệu hướng dẫn di chuyển đề cập, đồng thuận chạy ở chế độ bảo trì, chỉ có 7 nút cốt lõi. Do đó, lần ngừng hoạt động này dựa trên một cấu trúc vận hành đặc biệt được xác định rõ do Quỹ kiểm soát.
Bản chất của quyền hạn khẩn cấp cũng là quyền lực ở cấp độ bảng cân đối kế toán
Mỗi lần blockchain ngừng hoạt động, bản chất là chuyển rủi ro đến những nơi khác nhau.
- Cronos sửa đổi lịch sử chuỗi chính thức: Có thể bảo vệ tài sản vẫn nằm trong phạm vi quản lý của chuỗi, nhưng đồng thời hủy bỏ các hoạt động trên chuỗi bình thường ngoài lỗ hổng, đối với tài sản trên Ethereum thì bất lực.
- Ontology chuyển hóa rủi ro thành chi phí thời gian và tổn thất khả năng sử dụng dịch vụ, giao dịch không thể thanh toán trong thời gian điều tra, không xác nhận thiệt hại về mặt tài sản.
- ICON hoàn thành việc cách ly hợp đồng và mạng sau khi tài sản đã chuyển ra ngoài phạm vi ủy thác của chuỗi; xác nhận tổn thất do Quỹ chịu trách nhiệm, việc truy hồi ICX bị đóng băng kỳ vọng vào sàn giao dịch và cơ quan tư pháp.
Chỉ một điểm số phi tập trung đơn thuần sẽ che giấu những kết cục hoàn toàn khác biệt này. Tiêu chuẩn đánh giá thực tế hơn là: Quy tắc xử lý khẩn cấp có được công khai không? Ngưỡng kích hoạt xử lý là gì? Chỉ dừng khối mới, hay sửa đổi trạng thái chuỗi đã được xác nhận? Khi can thiệp xảy ra, tài sản thoát khỏi quyền tài phán của chuỗi này do ai kiểm soát? Ai cam kết chịu trách nhiệm về tổn thất còn lại?
Cronos và Tectonic vẫn đang chờ công bố báo cáo tổng kết đầy đủ. Ontology cần tiết lộ chi tiết cuộc tấn công và quy tắc ủy quyền khẩn cấp, sau đó còn cần xác nhận điều kiện đánh giá nâng cấp và khởi động lại có đạt được hay không. Điều thực sự đáng so sánh là ranh giới rủi ro mà mỗi mạng lưới vạch ra —— những lịch sử, thời gian và tiền bạc nào sẽ bị đặt vào tình thế rủi ro.
