Consensys ngừng phát hành MetaMask: Một nhà thầu Triều Tiên, một tháng truy cập và những câu hỏi chưa có lời giải

Bạn có thấy dòng này chưa? Một thông báo kỹ thuật không kèm transaction hash, không có địa chỉ contract, không có bằng chứng on-chain. Chỉ là một lời tuyên bố từ Consensys: họ đã ngừng phát hành MetaMask vì một nhà thầu bên ngoài có liên quan đến Triều Tiên từng có quyền truy cập mã nguồn trong khoảng một tháng. Không có cảm xúc, chỉ có log và transaction hash. Nhưng ở đây, log không tồn tại. Và điều đó khiến tôi khó chịu hơn bất kỳ một lỗ hổng nào tôi từng đọc trong hợp đồng ICO. Ngành công nghiệp này vừa trải qua một cơn sốt tăng trưởng lớn, nơi mọi dự án với một chiếc website đẹp đều có thể gọi mình là hạ tầng. Giữa lúc đó, tin tức về việc MetaMask phải tạm dừng phát hành là một vết nứt hiếm hoi. Vết nứt không nằm ở mã nguồn, mà nằm ở quy trình. Khi mọi người chạy theo lợi nhuận và quên mất việc kiểm tra ai đang ngồi trong phòng mã nguồn, thì một cơn gió nhẹ cũng có thể thổi sập tòa nhà. Tôi đã thấy mô hình này từ năm 2017, khi Confido huy động 1.500 ETH chỉ để rồi đóng cửa sau ba tháng. Tôi đã viết báo cáo dài 12 trang về bốn lỗi nghiêm trọng trong hợp đồng của họ, bao gồm một backdoor cho phép rút toàn bộ ETH. Họ không sửa lỗi. Họ đóng cửa. Vì vậy, khi tôi nghe tin Consensys ngừng phát hành một sản phẩm mà hàng chục triệu người đang dùng mỗi tháng, tôi không vội tin vào tuyên bố. Tôi muốn tự mổ xẻ. MetaMask không phải là một ứng dụng thông thường. Đây là chiếc ví không lưu ký phổ biến nhất trong hệ sinh thái Ethereum, với thị phần áp đảo trong phân khúc ví trình duyệt. Người dùng nắm giữ private key của họ. Họ ký giao dịch trực tiếp trong trình duyệt hoặc trên thiết bị di động. Điều đó có nghĩa là bất kỳ ai kiểm soát được mã nguồn của MetaMask, hoặc hiểu biết sâu về cách thức hoạt động của nó, đều có thể nhắm mục tiêu vào hàng triệu người dùng với độ chính xác đáng sợ. Không cần phải đánh cắp tiền từ một sàn giao dịch tập trung. Chỉ cần chờ đợi và khai thác một lỗ hổng cụ thể trong mã nguồn mà họ đã nhìn thấy trước. Mổ xẻ dòng lệnh, tìm ra vết nứt từ mùa ICO 2017. Vậy điều gì thực sự đã xảy ra? Theo báo cáo của The Defiant, Consensys đã phát hiện ra rằng một nhà thầu được tuyển qua bên thứ ba có liên quan đến Triều Tiên. Người này có quyền truy cập vào mã nguồn MetaMask trong khoảng một tháng. Consensys tuyên bố họ đã cắt quyền truy cập ngay khi phát hiện, và rằng họ không tìm thấy bằng chứng về việc mã độc được đưa vào hoặc dữ liệu bị đánh cắp. Đây là một phản ứng nhanh, một phản ứng đúng chuẩn. Nhưng câu chuyện không dừng lại ở đó. Bất kỳ ai từng làm bảo mật lâu năm đều biết rằng câu nói "chúng tôi không tìm thấy gì" khác xa với câu "không có gì xảy ra". Đặc biệt khi đối tượng có khả năng liên quan đến một quốc gia có lực lượng tấn công mạng tinh vi nhất thế giới. Hãy nhìn vào kỹ thuật. Một nhà thầu có quyền truy cập mã nguồn MetaMask không chỉ đơn thuần là một người đọc file. Trong môi trường phát triển phần mềm, quyền truy cập mã nguồn thường đi kèm với quyền tạo nhánh, sửa file, tạo pull request và thậm chí merge code vào nhánh chính nếu quy trình kiểm soát lỏng lẻo. Khoảng thời gian một tháng là đủ để một kẻ tấn công có kinh nghiệm hiểu cấu trúc mã nguồn, xác định các điểm yếu tiềm ẩn, và quan trọng hơn, chuẩn bị một cuộc tấn công có chủ đích trong tương lai. Ngay cả khi không có dòng mã độc nào được phát hiện, thì kiến thức thu được từ việc đọc mã nguồn là một dạng vũ khí. Đây chính là lý do tại sao các công ty bảo mật nghiêm túc xử lý các sự cố kiểu này như một vụ rò rỉ bí mật cấp độ cao. Bởi vì mã nguồn của ví điện tử là tài sản nhạy cảm nhất mà một công ty có thể sở hữu. Nó chứa đựng logic tạo khóa, logic ký giao dịch và tất cả những gì cần thiết để giả mạo trải nghiệm của người dùng. Không có cảm xúc, chỉ có log và transaction hash. Nhưng log của sự cố này vẫn còn thiếu. The Defiant không cung cấp thông tin về việc nhà thầu đó đã truy cập vào những mô-đun nào. Đây là khác biệt quan trọng giữa một rủi ro nghiêm trọng và một rủi ro có thể kiểm soát. Nếu nhà thầu chỉ truy cập vào các thành phần giao diện người dùng không liên quan đến việc xử lý khóa, thì mức độ rủi ro sẽ thấp hơn một chút. Nhưng nếu người này chạm vào các đoạn mã liên quan đến trình tạo mnemonic, ký giao dịch, hoặc lưu trữ khóa riêng tư, thì mức độ nghiêm trọng sẽ tăng vọt. Đây là thông tin mà Consensys chưa công bố. Và trong thế giới bảo mật, việc thiếu thông tin chi tiết thường có nghĩa là vấn đề phức tạp hơn những gì được tiết lộ. Tôi đã gặp tình huống này nhiều lần trong sự nghiệp. Khi một công ty nhanh chóng công bố: "Chúng tôi đã vô hiệu hóa mối đe dọa, không có thiệt hại", nhưng từ chối trả lời các câu hỏi cụ thể, thì thường có một lý do. Có thể họ chưa đánh giá hết thiệt hại. Có thể họ vẫn đang điều tra. Có thể họ chưa hiểu hết những gì mà nhà thầu đã nhìn thấy. Điều thứ hai khiến tôi quan tâm là khía cạnh pháp lý. Một nhà thầu liên quan đến Triều Tiên không chỉ là vấn đề an ninh mạng. Đây là vấn đề tuân thủ lệnh trừng phạt của Văn phòng Kiểm soát Tài sản Ngoại quốc Hoa Kỳ, thường được biết đến với tên OFAC. Consensys là một công ty đặt tại Hoa Kỳ. Việc để cho một cá nhân liên quan đến quốc gia bị trừng phạt toàn diện như Triều Tiên tiếp cận mã nguồn sản phẩm có thể kích hoạt trách nhiệm pháp lý nghiêm trọng. Ngay cả khi không có hành vi độc hại nào được chứng minh, thì hành vi "cho phép truy cập" đã có thể bị xem là một vi phạm nếu quy trình sàng lọc ban đầu không đầy đủ. Điều này nâng mức độ nghiêm trọng của sự cố lên một tầm cao mới. Hãy tưởng tượng một kịch bản. Một công ty tài chính truyền thống ở New York phát hiện ra rằng một nhà thầu có quan hệ với Triều Tiên đã có quyền truy cập vào hệ thống máy chủ của họ trong một tháng. Công ty đó sẽ ngay lập tức phải báo cáo lên OFAC, thuê một công ty luật độc lập điều tra, và có khả năng phải đình chỉ hoạt động cho đến khi hoàn tất việc rà soát. Consensys có thể đã làm những điều này, nhưng họ chưa công bố cho công chúng. Trong khi đó, sự im lặng này tạo ra một khoảng trống thông tin. Khoảng trống đó chính là nơi mà FUD (Fear, Uncertainty, Doubt — sợ hãi, không chắc chắn, hoài nghi) sinh sôi. Bối cảnh thị trường làm cho câu chuyện trở nên phức tạp hơn. Sự kiện này xảy ra vào khoảng tháng 3 và tháng 4 năm 2024, trong giai đoạn thị trường đang hồi phục sau khi quỹ ETF Bitcoin giao ngay được phê duyệt vào đầu năm. Đây là thời điểm mà dòng vốn tổ chức bắt đầu chảy vào. Đây cũng là thời điểm mà các nhà đầu tư trở nên nhạy cảm hơn với bất kỳ rủi ro nào có thể làm chệch hướng câu chuyện tăng giá. Một sự cố chuỗi cung ứng liên quan đến Triều Tiên trong một sản phẩm ví tiền mã hóa phổ biến là chất xúc tác hoàn hảo cho làn sóng lo lắng. Không có gì ngạc nhiên khi The Defiant chọn đưa tin về vụ việc này. Nhưng điều quan trọng là phải xác định mức độ ảnh hưởng thực tế. MetaMask không có token riêng. Do đó, sự kiện này không gây ra một cú sốc trực tiếp lên giá trị tài sản tiền mã hóa. Thay vào đó, ảnh hưởng của nó lan tỏa thông qua niềm tin. Niềm tin là một loại tài sản kỳ lạ. Nó không bao giờ xuất hiện trong bảng cân đối kế toán, nhưng nó có thể quyết định sự sống còn của một doanh nghiệp. MetaMask đã xây dựng niềm tin trong hơn bảy năm. Người dùng tin rằng khi họ ký một giao dịch, mã nguồn của MetaMask không có backdoor. Họ tin rằng cụm từ khôi phục của họ không bị rò rỉ ra ngoài. Bất kỳ sự vi phạm nào, dù là tiềm ẩn, đều có thể làm xói mòn niềm tin này. Đây là lý do tại sao việc Consensys lựa chọn ngừng phát hành là một quyết định đúng đắn. Nhưng nó cũng là một quyết định đắt giá. Mỗi ngày trôi qua mà MetaMask không phát hành bản cập nhật mới, là một ngày các đối thủ cạnh tranh có cơ hội thu hút người dùng. Trong cuộc chơi này, các đối thủ như Trust Wallet, Coinbase Wallet hay Rabby đang dõi theo rất sát sao. Họ biết rằng một trong những lợi thế lớn nhất của MetaMask là sự quen thuộc. Người dùng ngại thay đổi. Nhưng nếu sự quen thuộc đó bị đặt dấu hỏi về độ an toàn, thì nỗi sợ hãi có thể lớn hơn sự lười biếng. Trong ngắn hạn, tôi không tin rằng sẽ có một làn sóng di cư ồ ạt khỏi MetaMask, bởi vì chi phí chuyển đổi không chỉ là việc cài đặt một ứng dụng mới, mà còn là thói quen sử dụng, danh sách token, và sự tích hợp sâu với các ứng dụng phi tập trung khác. Nhưng nếu thời gian tạm dừng kéo dài, nếu Consensys không cung cấp thêm thông tin minh bạch, thì những người dùng có kiến thức kỹ thuật sẽ là nhóm đầu tiên rời đi. Họ không cần sự hoàn hảo. Họ cần sự minh bạch. Họ cần biết chính xác những gì đã xảy ra, những gì đã được kiểm tra, và những gì đã được sửa. Một điểm mù quan trọng khác trong toàn bộ câu chuyện này là khái niệm "nhà thầu bên thứ ba". Việc sử dụng các nhà phát triển bên ngoài là một thông lệ phổ biến trong ngành công nghệ. Các công ty lớn thường thuê ngoài để tiết kiệm chi phí, tăng tốc độ phát triển và tiếp cận nguồn nhân lực rộng lớn hơn. Nhưng trong lĩnh vực bảo mật nhạy cảm như ví tiền mã hóa, việc thuê ngoài mang lại một mức độ rủi ro hoàn toàn khác. Khi một nhà phát triển trong công ty có quyền truy cập mã nguồn, họ phải tuân thủ các quy trình kiểm tra lý lịch, ký hợp đồng bảo mật và chịu trách nhiệm pháp lý trực tiếp với công ty. Khi một công ty thuê ngoài, chuỗi trách nhiệm bị kéo dài thêm một mắt xích. Công ty phải tin tưởng vào quy trình tuyển dụng và kiểm tra của nhà cung cấp dịch vụ. Nếu mắt xích đó yếu, toàn bộ hệ thống sẽ bị tổn thương. Đây chính là vết nứt mà sự cố này phơi bày. Tôi đã từng nhìn thấy điều tương tự vào năm 2021 khi tôi phanh phui dự án NFT "CryptoChickens" — một dự án hứa hẹn nuôi gà để tạo ra token mới. Khi tôi dùng Python để phân tích hợp đồng thông minh của họ, tôi phát hiện ra rằng 80% số token được mint bởi hai địa chỉ duy nhất thuộc đội ngũ dự án. Không có một dòng mã nào nói rằng họ sẽ lừa đảo. Nhưng cấu trúc phân bổ token đã nói lên tất cả. Tương tự như vậy, trong vụ việc MetaMask này, cái chúng ta thấy chỉ là phần nổi. Phần chìm là toàn bộ quy trình tuyển dụng, quy trình kiểm tra lý lịch, và quy trình giám sát truy cập của các nhà thầu bên ngoài tại Consensys. Liệu họ có một danh sách các quốc gia bị cấm? Liệu họ có yêu cầu xác minh danh tính trực tiếp đối với các nhà thầu làm việc từ xa? Liệu họ có giám sát các hoạt động truy cập mã nguồn một cách tự động? Những câu hỏi này quan trọng hơn nhiều so với việc xác định nhà thầu cụ thể đó là ai. Rồi đến câu hỏi lớn hơn: tại sao phải mất đến một tháng để phát hiện ra vấn đề? Một tháng là một khoảng thời gian dài trong thế giới phát triển phần mềm. Số lượng commit có thể lên tới hàng trăm. Số lượng dòng mã có thể thay đổi là hàng nghìn. Nếu Consensys phát hiện ra vấn đề sau một tháng, thì điều đó có nghĩa là cơ chế giám sát của họ không đủ nhanh, hoặc rằng họ đã không kiểm tra danh sách theo dõi các thực thể bị trừng phạt trước đó. Cả hai khả năng này đều không dễ chịu. Nhưng tôi không nói rằng Consensys đã làm sai. Tôi đang nói rằng câu chuyện này phơi bày một thực tế rộng lớn hơn: ngành công nghiệp blockchain vẫn đang vận hành dựa trên sự tin tưởng vào các quy trình không hoàn hảo. Hãy nhìn vào cách mà toàn bộ ngành đã phản ứng với các vụ tấn công chuỗi cung ứng trong quá khứ. Vào năm 2022, cầu nối Ronin của Axie Infinity bị tấn công với thiệt hại lên tới 624 triệu đô la. Thủ phạm được xác định là nhóm Lazarus có liên quan đến Triều Tiên. Vụ việc đó cho thấy rằng ngay cả một hệ thống được bảo vệ cẩn thận cũng có thể bị xâm nhập nếu kẻ tấn công đủ kiên nhẫn. Nhóm Lazarus không chỉ tấn công bằng kỹ thuật. Họ tấn công bằng xã hội. Họ giả dạng nhà tuyển dụng, họ gửi email độc hại, họ thâm nhập vào quy trình nhân sự. Câu hỏi đặt ra là: liệu nhà thầu trong vụ MetaMask có phải là một phần của chiến lược tương tự? Nếu đúng, thì đây là một dấu hiệu cho thấy các nhóm tấn công có chủ đích đang chuyển từ tấn công vào mạng lưới sang tấn công vào quy trình nhân sự của các công ty hạ tầng lớn. Có một khía cạnh phản trực giác mà tôi muốn đề cập. Trong thế giới tiền mã hóa, khi một dự án công bố một lỗ hổng bảo mật, giá token thường giảm. Nhưng điều đó không có nghĩa là tin xấu. Trên thực tế, việc tự công bố một sự cố trước khi nó bị khai thác là một tín hiệu tích cực. Điều đó cho thấy công ty có một đội ngũ bảo mật đang hoạt động. Họ thà chấp nhận thiệt hại về uy tín ngắn hạn còn hơn là che giấu và chịu đựng một thảm họa lớn hơn. Phe bò có thể lập luận rằng vụ việc này thực ra chứng minh sức khỏe của Consensys. Họ đã phát hiện ra vấn đề. Họ đã hành động. Họ chưa tìm thấy thiệt hại nào. Nếu bạn tin tưởng vào tuyên bố của họ, thì đây chỉ là một sự cố trong quy trình, không phải một cuộc tấn công thành công. Nhưng tôi không thuộc phe bò. Không phải vì tôi tin rằng Consensys đang nói dối. Mà vì tôi tin rằng ngành công nghiệp này đã quá quen với việc tự khen mình vì các hành động tối thiểu. Phát hiện ra một nhà thầu rủi ro và cắt quyền truy cập là điều tối thiểu mà bất kỳ công ty nào cũng nên làm. Nó giống như việc một ngân hàng phát hiện ra rằng một nhân viên giao dịch có tiền án và sau đó sa thải nhân viên đó. Đáng khen ngợi, nhưng câu hỏi lớn hơn là: tại sao nhân viên đó được thuê ngay từ đầu? Quy trình tuyển dụng của bạn đã hỏng ở đâu? Bạn sẽ sửa chữa nó như thế nào? Và quan trọng nhất, bạn có chắc rằng không có nhà thầu tương tự nào khác đang nằm trong hệ thống của bạn lúc này? Một trong những nguyên tắc cốt lõi của tôi là: không bao giờ tin vào một tuyên bố chỉ vì người nói có danh tiếng tốt. Hãy kiểm chứng bằng dữ liệu. Trong vụ này, dữ liệu công khai gần như không tồn tại. Chúng ta chỉ có một bản tin từ một tờ báo, dựa trên tuyên bố của một công ty. Không có một đoạn mã nào để xem xét. Không có một transaction hash nào để truy vết. Không có một báo cáo kiểm toán độc lập nào được công bố. Điều này đặt chúng ta vào một tình huống khó xử. Chúng ta có thể chấp nhận câu chuyện của Consensys và tiếp tục sử dụng MetaMask. Hoặc chúng ta có thể lo lắng vô hạn và chuyển sang các giải pháp khác. Cả hai phản ứng đều cực đoan. Cách tiếp cận hợp lý hơn là theo dõi một cách có hệ thống. Tôi sẽ theo dõi ba tín hiệu cụ thể trong những tuần tới. Đầu tiên, liệu Consensys có công bố một báo cáo điều tra chi tiết hay không. Một báo cáo như vậy nên bao gồm các mô-đun mã nguồn cụ thể mà nhà thầu đã truy cập, phạm vi thay đổi mã được thực hiện và kết quả của quá trình rà soát toàn bộ. Nếu báo cáo không xuất hiện, nó sẽ gợi ý rằng vấn đề vẫn chưa được giải quyết hoàn toàn. Thứ hai, thời gian phát hành tiếp theo của MetaMask. Nếu họ nhanh chóng quay trở lại chu kỳ phát hành thường xuyên trong vòng một đến ba tháng, điều đó cho thấy họ tự tin rằng quy trình đã được khôi phục. Nếu họ liên tục trì hoãn, điều đó cho thấy quá trình rà soát đang phức tạp hơn so với những gì họ nói. Thứ ba, liệu có bất kỳ động thái nào từ các cơ quan quản lý Hoa Kỳ. Nếu OFAC hoặc FBI đưa ra thông báo liên quan đến vụ việc, hoặc nếu có một cuộc điều tra chính thức được tiết lộ, thì mức độ nghiêm trọng của vụ việc cần phải được đánh giá lại. Có một chi tiết khác mà ít người nhắc đến. Việc Consensys tạm dừng phát hành MetaMask không chỉ ảnh hưởng đến người dùng cuối. MetaMask còn là một nền tảng cho các nhà phát triển tích hợp thông qua WalletConnect và các bộ công cụ phát triển phần mềm khác. Nếu việc tạm dừng này kéo dài, các dự án ứng dụng phi tập trung (dApp) dựa vào các tính năng mới của MetaMask có thể bị chậm trễ. Các nhà phát triển muốn thử nghiệm các định dạng giao dịch mới hoặc các tính năng bảo mật mới sẽ phải đợi. Điều này tạo ra một hiệu ứng gợn sóng đi qua toàn bộ hệ sinh thái. Giống như một nút thắt trên một tuyến đường cao tốc, một sự cố tại MetaMask có thể làm chậm giao thông trên tất cả các làn đường. Trong suốt 26 năm làm việc trong lĩnh vực bảo mật và điều tra, tôi học được một điều: không có gì là hoàn toàn an toàn. Mọi hệ thống đều có thể bị xâm phạm. Mọi quy trình đều có thể bị vượt qua. Mọi công ty đều có thể mắc sai lầm. Điều tách biệt một công ty tốt khỏi một công ty tồi không phải là việc không bao giờ mắc sai lầm. Mà là cách họ xử lý sai lầm. Họ có thừa nhận không? Họ có hành động nhanh không? Họ có minh bạch không? Họ có học hỏi không? Trong vụ này, Consensys có vẻ đang hành động có trách nhiệm. Họ dừng phát hành để bảo vệ người dùng. Họ công bố thông tin. Nhưng sự minh bạch mới chỉ dừng ở mức họ tự cho phép. Câu hỏi thực sự là liệu họ sẽ duy trì sự minh bạch đó khi áp lực gia tăng, khi các nhà đầu tư hỏi tại sao doanh thu bị giảm, và khi các luật sư khuyên họ nên im lặng để tránh rủi ro pháp lý. Với tư cách là một người làm bảo mật đã chứng kiến năm chu kỳ thị trường, tôi thấy rằng các sự cố kiểu này thường tiết lộ một mô hình sâu hơn. Vào năm 2017, khi tôi rà soát hợp đồng thông minh của các dự án ICO, tôi nhận ra rằng hầu hết các dự án đều có cùng một loại lỗ hổng: chúng không bao giờ nghĩ đến kẻ tấn công. Chúng thiết kế sản phẩm để phát triển nhanh và gọi vốn, chứ không phải để chống lại những kẻ thông minh và kiên nhẫn. Điều tương tự cũng đang xảy ra với các công ty hạ tầng lớn. Họ thiết kế quy trình tuyển dụng để tối đa hóa tốc độ và giảm thiểu chi phí. Họ sử dụng nhà thầu bên ngoài để linh hoạt hơn. Nhưng họ không dành đủ thời gian để suy nghĩ về cái giá phải trả khi một kẻ xấu lọt qua lưới. Và cái giá đó, như chúng ta có thể thấy, không chỉ là tiền bạc. Nó là niềm tin của người dùng. Không có cảm xúc, chỉ có log và transaction hash. Nhưng khi log không có, tất cả những gì chúng ta còn lại là cảm xúc và phỏng đoán. Đó là lý do tại sao sự thiếu minh bạch lại nguy hiểm. Không chỉ vì nó làm cho vấn đề trở nên tồi tệ hơn. Mà vì nó ngăn cản cộng đồng thực hiện chức năng giám sát của mình. Trong một hệ sinh thái mà các giao dịch được ghi lại công khai trên blockchain, sự mờ tối như vậy là một sự sai lệch so với bản chất. Chúng ta có thể theo dõi một giao dịch từ ví này sang ví khác. Nhưng chúng ta không thể theo dõi quá trình tuyển dụng của một công ty. Chúng ta không thể biết ai đã đọc mã nguồn. Chúng ta không thể biết dữ liệu nào đã bị sao chép. Tất cả những gì chúng ta có thể làm là tin tưởng. Sự tin tưởng mù quáng là thứ mà một nhà điều tra không bao giờ được phép dùng. Vậy tôi đưa ra một lời khuyên thiết thực cho những người dùng đang lo lắng. Trước hết, không cần phải vội vàng chuyển sang một loại ví khác hoặc bán tháo tài sản của bạn. Không có bằng chứng nào cho thấy tiền của bạn đang gặp nguy hiểm. Hãy duy trì các biện pháp bảo mật thông thường: không chia sẻ cụm từ khôi phục, không ký các giao dịch không rõ ràng, cập nhật phần mềm khi có bản vá mới. Thứ hai, nếu bạn là một nhà phát triển hoặc một nhà đầu tư chuyên nghiệp, hãy yêu cầu Consensys công bố thông tin chi tiết hơn. Đừng chấp nhận những câu trả lời chung chung. Hãy hỏi câu hỏi cụ thể: nhà thầu đó đã truy cập vào mô-đun nào? Có báo cáo kiểm toán độc lập không? Cơ chế phát hiện là gì? Hãy nhớ rằng, trong thị trường tăng, người ta có xu hướng bỏ qua những câu hỏi khó chịu vì họ quá bận ăn mừng lợi nhuận. Nhưng chính trong những khoảnh khắc đó, các vết nứt ngầm mới bắt đầu hình thành. Câu chuyện về Consensys chỉ là một ví dụ trong hàng tá các vụ việc tương tự. Chúng ta đang sống trong một thời kỳ mà các quốc gia có chủ quyền đang triển khai các chiến dịch tấn công mạng có tổ chức. Họ không chỉ nhắm vào các sàn giao dịch. Họ nhắm vào toàn bộ chuỗi cung ứng phần mềm. Họ thuê những người có kỹ năng, họ đưa họ vào làm việc tại các công ty lớn, và họ chờ đợi. Đây không phải là một bộ phim điệp viên. Đây là thực tế được xác nhận bởi hàng loạt các báo cáo an ninh quốc gia. Và nó xảy ra trong thế giới tiền mã hóa vì tiền mã hóa là mục tiêu có giá trị cao. Giá trị lớn, khó truy vết, và chưa được quản lý hoàn chỉnh. Một công ty như Consensys, với vị trí quan trọng trong hạ tầng Ethereum, sẽ luôn là mục tiêu. Điều chúng ta không biết là liệu nhà thầu này là một mũi do thám đơn lẻ hay là một phần của một chiến dịch lớn hơn. Về mặt kỹ thuật, có một điểm nữa cần được nhấn mạnh. MetaMask là một ví không lưu ký. Điều đó có nghĩa là công ty mẹ nắm giữ rất ít quyền kiểm soát đối với tài sản của người dùng. Người dùng nắm giữ khóa riêng tư của họ, thường được lưu trữ trong phần cứng hoặc trên chính thiết bị của họ. Điều này hạn chế thiệt hại trực tiếp từ một cuộc tấn công vào máy chủ của Consensys. Nhưng nó không loại bỏ rủi ro. Nếu một kẻ tấn công có thể sửa đổi mã nguồn của MetaMask trong một bản phát hành phần mềm, họ có thể chèn một đoạn mã đánh cắp cụm từ khôi phục khi người dùng nhập vào. Các cuộc tấn công kiểu này đã xảy ra trong quá khứ. Vào năm 2022, một số phiên bản giả mạo của các ví tiền mã hóa trên kho ứng dụng đã đánh cắp cụm từ khôi phục của hàng nghìn người dùng. Vì vậy, việc Consensys tạm dừng phát hành để rà soát lại có ý nghĩa vô cùng quan trọng. Trong thế giới bảo mật, một bản phát hành bị trì hoãn luôn tốt hơn một bản phát hành chứa mã độc. Tuy nhiên, việc không phát hành bản cập nhật trong một thời gian dài cũng có rủi ro riêng. Các lỗ hổng đã biết trong mã hiện tại sẽ không được vá. Các tính năng bảo mật mới sẽ không đến được với người dùng. Trong một thị trường mà các mối đe dọa phát triển mỗi ngày, việc một sản phẩm bị đóng băng về mặt phát triển là một vấn đề. Consensys phải cân bằng giữa an toàn và sự sống còn. Họ không thể dừng lại quá lâu. Nếu họ làm vậy, họ sẽ mất tương lai. Đợt tạm dừng này có thể kéo dài bao lâu? Không ai biết. Có thể vài tuần. Có thể vài tháng. Sự không chắc chắn này cũng gây hại cho hệ sinh thái. Với tất cả những gì tôi đã nói, tôi muốn quay trở lại với một khái niệm mà tôi tin là gốc rễ của mọi vấn đề. Đó là khái niệm về trách nhiệm giải trình. Trong thế giới blockchain, trách nhiệm giải trình thường được thực hiện thông qua mã nguồn mở và các giao dịch có thể kiểm chứng. Chúng ta có thể nhìn vào mã nguồn của một hợp đồng thông minh và tự hỏi: nó có an toàn không? Chúng ta có thể nhìn vào lịch sử giao dịch của một địa chỉ và tự hỏi: nó có đáng tin không? Nhưng khi nói đến các công ty đứng sau các sản phẩm, trách nhiệm giải trình trở nên khó nắm bắt hơn. Chúng ta không thể xem xét các quy trình nội bộ của Consensys. Chúng ta không thể xem xét danh sách nhân sự của họ. Chúng ta không thể xác minh rằng họ đã rà soát toàn bộ mã nguồn. Chúng ta phải tin họ. Và sự tin tưởng kiểu này, khi thiếu các cơ chế xác minh, là một lỗ hổng. Trong tương lai, tôi tin rằng các công ty hạ tầng blockchain sẽ phải áp dụng các tiêu chuẩn cao hơn về quản trị chuỗi cung ứng. Họ sẽ phải cho phép các nhà kiểm toán độc lập đánh giá quy trình tuyển dụng của họ. Họ sẽ phải công bố các chính sách về quyền truy cập mã nguồn. Họ sẽ phải thiết lập các cơ chế giám sát tự động để phát hiện ra các truy cập bất thường. Điều này nghe có vẻ tốn kém và bất tiện. Nhưng so với việc mất đi niềm tin của người dùng và bị các cơ quan quản lý trừng phạt, thì cái giá đó là rẻ. Tôi đã thấy quá nhiều công ty từ chối chi một triệu đô la cho bảo mật để rồi sau đó mất mười triệu đô la vì một vụ hack. Sự ngu ngốc đó lặp đi lặp lại trong suốt lịch sử ngành công nghiệp này. Câu chuyện Consensys không phải là một vụ bê bối lớn. Không có tiền bị đánh cắp. Không có dữ liệu người dùng bị lộ. Không có mã độc được xác nhận. Đây chỉ là một sự cố trong quy trình. Nhưng nó là một lời cảnh tỉnh. Nếu một công ty hàng đầu như Consensys có thể để lọt một nhà thầu liên quan đến Triều Tiên vào hệ thống của họ trong một tháng, thì điều gì đang xảy ra trong các công ty nhỏ hơn? Điều gì đang xảy ra trong các quỹ đầu tư mạo hiểm? Điều gì đang xảy ra trong các sàn giao dịch phi tập trung với đội ngũ ẩn danh? Có bao nhiêu nhà thầu liên quan đến các thực thể bị trừng phạt đang ngồi trong mã nguồn của các ứng dụng mà chúng ta sử dụng mỗi ngày? Chúng ta sẽ không bao giờ biết cho đến khi một vụ việc bị phanh phui. Mổ xẻ dòng lệnh, tìm ra vết nứt từ mùa ICO 2017. Đó là cách tôi làm việc trong suốt hai thập kỷ qua. Nhưng lần này, vết nứt không nằm trong hợp đồng thông minh. Vết nứt nằm trong quy trình. Và việc sửa chữa nó đòi hỏi nhiều hơn là một bản vá mã. Nó đòi hỏi một sự thay đổi trong cách suy nghĩ. Chúng ta phải coi an ninh chuỗi cung ứng là một phần cốt lõi của sản phẩm, không phải là một thứ xa xỉ chỉ được thêm vào khi có vốn. Chúng ta phải coi việc kiểm tra lý lịch của các nhà thầu bên ngoài là một phần không thể tách rời của việc phát triển phần mềm. Và chúng ta phải yêu cầu sự minh bạch từ các công ty mà chúng ta giao phó tiền và dữ liệu của mình. Cuối cùng, tôi để lại một câu hỏi. Không phải cho Consensys. Mà cho chính ngành công nghiệp này. Nếu một trong những công ty uy tín nhất trong lĩnh vực hạ tầng Ethereum có thể im lặng về việc một nhà thầu liên quan đến Triều Tiên có quyền truy cập mã nguồn trong một tháng — thậm chí có thể là ngay cả khi họ không công khai chi tiết — thì chúng ta có thể tin tưởng vào những công ty ít minh bạch hơn đến mức nào? Khi bạn nhìn vào một dự án mới huy động được 100 triệu đô la với đội ngũ ẩn danh, khi bạn thấy họ quảng cáo về tính năng bảo mật nhưng không công bố một dòng mã nào, thì bạn đang đặt niềm tin của mình vào cái gì? Câu trả lời nằm trong số liệu mà bạn không muốn nhìn thấy. Nhưng như tôi đã nói từ năm 2017, không có cảm xúc nào trong bảo mật. Chỉ có sự thật nằm trong mã nguồn, trong quy trình, và trong những gì bạn sẵn sàng kiểm tra. Hãy kiểm tra. Đừng tin.