Tác giả: Zooko Wilcox, Jason McGee
Biên dịch: Luffy, Foresight News
Gần đây, mô-đun Orchard của Zcash đã phát hiện một lỗ hổng bảo mật. Mọi người thường quan tâm đến hai vấn đề chính: Tổng lượng tiền Zcash có bất thường không? Tài sản của người dùng có an toàn không?
Hiện tại, nhiều cuộc thảo luận đan xen nhiều chủ đề khác nhau, khiến nhiều người khó hiểu rõ tác động thực tế của lỗ hổng này đối với người dùng thông thường. Bài viết này sẽ thảo luận về những vấn đề này, lần lượt giải thích ý nghĩa đằng sau chúng.
Lỗ hổng Orchard lần này chủ yếu đặt ra bốn câu hỏi then chốt:
- Lỗ hổng đã bị hacker khai thác chưa?
- Tài sản hợp pháp của người dùng được lưu trữ trong Orchard có thể rút ra bình thường không?
- Người dùng có thể tự xác minh tổng nguồn cung Zcash không bị phát hành thêm một cách nhân tạo không?
- Làm thế nào để xác nhận dự án không tồn tại các lỗ hổng giả mạo tương tự khác?
Lỗ hổng đã bị khai thác chưa?
Hiện tại vẫn chưa có kết luận chắc chắn. Tổng hợp lại, khả năng lỗ hổng đã bị khai thác ác ý trước đây là thấp, nhưng chúng tôi không thể hoàn toàn loại trừ trường hợp này, dựa trên ba luận điểm chính:
- Trong nhiều năm, nhiều chuyên gia mật mã và nhà nghiên cứu bảo mật hàng đầu thế giới đã liên tục rà soát mã nguồn Zcash, lỗ hổng này vẫn không được phát hiện. Lỗ hổng lần này được Taylor Hornby của Shielded Labs chủ động tìm ra khi kiểm tra, không phải do vô tình phát lộ. Anh ấy sử dụng công nghệ phát hiện an ninh trí tuệ nhân tạo và công cụ tự phát triển, chuyên để đào sâu các lỗi ẩn này. Loại lỗ hổng này có ngưỡng rất cao, những người không chuyên về cơ sở mã Zcash rất khó tìm và khai thác.
- Sau khi lỗ hổng được phát hiện, nhóm phát triển Zcash ngay lập tức phối hợp với các nhóm khai thác lớn, tạm thời đóng băng bể chứa vốn Orchard và đẩy bản sửa lỗi, thu hẹp đáng kể cửa sổ tấn công của hacker.
- Hầu hết các cuộc tấn công trong lĩnh vực tiền mã hóa đều nhằm mục đích kiếm lợi nhanh. Một khi lỗ hổng được công bố, hacker thường sẽ lập tức kiếm tiền. Để kiếm lợi từ lỗ hổng này, hacker cần chuyển ZEC giả mạo ra khỏi bể chứa vốn Orchard và đổi thành tài sản khác. Những hoạt động như vậy thường để lại dấu vết. Nếu lỗ hổng đã bị khai thác từ lâu, hiện tại nên đã có bằng chứng liên quan. Nhìn lại lịch sử ngành, hacker hành động cơ bản đều là 'thành công rồi rời đi nhanh chóng', không cố ý ẩn náu hàng tháng thậm chí hàng năm.
Tài sản hợp pháp trong Orchard có thể rút ra không?
Chúng tôi tin là có thể rút ra bình thường, với điều kiện lỗ hổng chưa bao giờ bị khai thác. Nếu đánh giá này là đúng, tất cả tài sản hợp pháp của người dùng được lưu trữ trong Orchard đều có thể chuyển đi thành công.
Ngược lại, nếu đã có hacker lợi dụng lỗ hổng tạo ra token giả và chuyển vào bể chứa vốn, các kênh chuyển khoản hiện có sẽ giới hạn tổng số tiền có thể rút. Giới hạn rút ra bằng tổng lượng token hợp pháp đã gửi ban đầu. Trong trường hợp này, nếu token giả được rút ra trước, một phần tài sản hợp pháp của người dùng có thể không thể rút toàn bộ.
Chúng tôi cho rằng xác suất xảy ra tình huống cực đoan nêu trên là không cao. Nếu mọi người vẫn còn lo ngại, có thể chuyển tài sản ra khỏi bể Orchard. Tuy nhiên, trước khi làm vậy, cần hiểu rõ rủi ro tiềm ẩn của các cách rút tiền khác nhau:
- Chuyển vào địa chỉ công khai (t-address): Số tiền chuyển, thời gian sẽ hoàn toàn công khai, tài sản cũng sẽ liên kết công khai với địa chỉ đó, hoàn toàn mất tính riêng tư.
- Chuyển vào bể riêng tư Sapling: Số tiền và thời gian chuyển vẫn bị ghi lại, nhưng không liên kết tài sản với địa chỉ cụ thể và lịch sử giao dịch, tính riêng tư tốt hơn địa chỉ công khai. Cần lưu ý rằng, Sapling phụ thuộc vào nghi thức khởi tạo đáng tin cậy hoàn thành năm 2018, điều này bản thân nó tồn tại rủi ro bảo mật bổ sung.
- Ví: Trong các ví tự lưu ký phổ biến hiện tại, chỉ có YWallet và Zkool hỗ trợ bể Sapling.
- Các ví hoặc nền tảng lưu ký khác: Cũng có thể xảy ra các vấn đề bất ngờ khác như sai sót vận hành, lỗi phần mềm, kiểm soát rủi ro nền tảng.
Tổng hợp lại, các rủi ro trên đều nằm trong phạm vi kiểm soát. Kết hợp với đánh giá "lỗ hổng rất có khả năng chưa bị khai thác", việc để tài sản trong ví riêng tư ban đầu là lựa chọn ổn định. Nếu có thể đảm bảo an toàn khi thao tác, việc chuyển tài sản ra cũng không có gì sai, mọi người có thể quyết định dựa trên tình hình của mình.
Người dùng có thể tự xác minh tổng nguồn cung Zcash không bị phát hành thêm không?
Hiện tại tạm thời chưa làm được. Do sự tồn tại của lỗ hổng lần này, người dùng thông thường không thể độc lập kiểm tra tổng lượng token trong bể riêng tư hiện tại có bị phát hành thêm hay không.
Tuy nhiên, bản nâng cấp mạng Ironwood được dự án lên kế hoạch sẽ giải quyết vấn đề này, cụ thể logic như sau:
Lần nâng cấp này sẽ đóng cửa hoàn toàn bể Orchard, không cho phép tài sản mới chuyển vào, token trong bể cũng không thể lưu chuyển nội bộ, tất cả tài sản chỉ có thể được chuyển ra qua các kênh ban đầu. Và tổng số tiền rút ra từ hệ thống kênh này, bằng chính xác số lượng token hợp pháp đã gửi ban đầu, triệt tiêu từ gốc việc token chảy ra vượt hạn mức.
Sau khi hoàn tất nâng cấp, bất kỳ ai chạy nút đều có thể xác minh tổng nguồn cung token là tuân thủ. Ngay cả khi trước đây thực sự đã xuất hiện token giả, chúng cũng không thể tiếp tục lưu chuyển trong bể Orchard, đẩy cao tổng lượng phát hành. Người dùng không cần phải đoán hành động của hacker hoặc người dùng khác, chính giao thức sẽ đảm bảo không xảy ra tình trạng phát hành vượt mức token.
Điều này vô cùng quan trọng, uy tín lâu dài của Zcash được xây dựng dựa trên việc người dùng có thể tự xác minh tổng nguồn cung token. Bản nâng cấp Ironwood sẽ trao lại khả năng này cho người dùng.
Làm thế nào để xác nhận dự án không có lỗ hổng giả mạo token nào khác?
Ở giai đoạn hiện tại, không thể đưa ra câu trả lời tuyệt đối, nhưng chúng tôi có lý do để tin rằng không còn tồn tại lỗ hổng tương tự.
Shielded Labs đã phối hợp với nhiều nhóm, tiến hành rà soát toàn diện giao thức Zcash, tập trung tìm kiếm các lỗ hổng giả mạo token. Trong quá trình rà soát, nhóm cũng sử dụng mô hình trí tuệ nhân tạo Mythos chưa được chính thức phát hành của công ty Anthropic để hỗ trợ phát hiện. Chúng tôi sẽ đăng bài viết sau, giới thiệu chi tiết quá trình và kết quả của đợt rà soát này.
Tính đến nay, nhóm chưa phát hiện lỗ hổng giả mạo mới. Đợt rà soát này tập hợp các kỹ thuật viên kỳ cựu, đội ngũ bảo mật chuyên nghiệp và công cụ phân tích AI tiên tiến, điều này càng khiến chúng tôi tin tưởng hơn rằng hiện không có lỗ hổng nguy hiểm tương tự chưa bị phát hiện.
Đồng thời, chúng tôi còn phối hợp với các đối tác như dự án Tachyon để thực hiện các kiểm tra bổ sung, củng cố thêm hàng phòng thủ bảo mật, tiến trình liên quan cũng sẽ được công bố sau.
Tổng kết
Lỗ hổng Orchard lần này đặt ra bốn vấn đề cốt lõi: Lỗ hổng có bị khai thác không, tài sản hợp pháp có thể rút không, tổng nguồn cung token có thể xác minh không, có tồn tại lỗ hổng giả mạo khác không.
Kết hợp với kết quả rà soát hiện có, chúng tôi đánh giá xác suất lỗ hổng đã bị khai thác trước đây là rất thấp, do đó tài sản người dùng, tổng nguồn cung token hiện cũng được duy trì bình thường. Sau khi được nhiều nhóm độc lập kiểm tra lặp đi lặp lại, chúng tôi cũng ngày càng tin chắc rằng dự án tạm thời không có lỗ hổng giả mạo chưa phát hiện nào khác.
Nhưng có một điểm không thể tránh khỏi: Hiện tại người dùng vẫn chưa thể tự kiểm tra tổng nguồn cung token. Và bản nâng cấp mạng sắp tới, có thể giải quyết triệt để vấn đề này. Sau khi nâng cấp, bể Orchard sẽ bị đóng cửa vĩnh viễn, người dùng có thể độc lập xác minh tổng nguồn cung token, không cần phải phán đoán liệu đã từng xảy ra giả mạo token hay chưa.
