Tháng trước, một giao thức DeFi từng được audit bởi ba công ty bảo mật hàng đầu thế giới vẫn bị khai thác 50 triệu USD chỉ trong 18 phút. Tin tức lan nhanh, nhưng điều khiến tôi chú ý không phải con số thiệt hại, mà là phản ứng của giới tổ chức: họ không còn hỏi 'Nó đã được audit chưa?' nữa. Họ hỏi 'Hệ thống giám sát thời gian thực của nó hoạt động thế nào?' Đó là một sự thay đổi ngầm, nhưng đủ để làm rung chuyển cả ngành bảo mật crypto.
Đây không phải lần đầu tiên tôi thấy một xu hướng như vậy. Hồi 2017, khi tôi lọc 300 dự án ICO trên Bitcointalk, tôi phát hiện 'Ethereum Blue' có mã nguồn giả mạo – một dự án đã được 'audit' bởi một nhóm tự xưng. Bài viết cảnh báo của tôi được chia sẻ 200 lần, và dự án sụp đổ sau một tháng. Từ đó, tôi biết rằng audit chỉ là một bức ảnh chụp nhanh, còn kẻ tấn công thì có cả đống thời gian để tìm lỗ hổng sau đó.
Báo cáo mới nhất từ Hacken – một trong những công ty bảo mật có tiếng – đã xác nhận điều tôi nghi ngờ từ lâu: các tổ chức crypto đang vượt ra ngoài audit truyền thống để tìm kiếm tín hiệu tin cậy khác. Họ gọi đó là 'continuous monitoring, signer controls, và event preparedness'. Nghe có vẻ như một danh sách mua sắm, nhưng thực chất nó phản ánh một cuộc khủng hoảng niềm tin có hệ thống.
Tại sao là bây giờ?
Thị trường đang đi ngang, và các tổ chức có thời gian để xem xét lại rủi ro. Theo dữ liệu tôi thu thập từ các vụ hack trong 18 tháng qua, hơn 70% tổn thất đến từ các lỗi vận hành (operational failures) – như private key bị lộ, quản trị yếu kém, hoặc lỗi trong quá trình chuyển bridge – chứ không phải từ lỗi smart contract thuần túy. Trong khi đó, audit truyền thống chỉ tập trung vào code, bỏ qua lớp vận hành. Kết quả là các protocol được audit 'sạch' vẫn mất tiền, và các tổ chức mất niềm tin vào cái mác 'audited by XYZ'.
Tôi nhớ năm 2020, khi tôi viết bot Python tự động thu thập APY từ 15 pool DeFi, tôi phát hiện pool USDC-WBTC có APY tăng đột biến do wash trading. Không audit nào phát hiện ra điều đó, bởi vì audit không nhìn vào dữ liệu on-chain thời gian thực. Đó là lúc tôi hiểu: audit tĩnh giống như kiểm tra sức khỏe một lần vào năm ngoái, còn cơ thể bạn đã thay đổi từ lâu.
Core: Những tín hiệu mới mà các tổ chức đang săn lùng
Báo cáo của Hacken chỉ ra ba trụ cột chính. Thứ nhất, continuous monitoring – giám sát liên tục các hoạt động on-chain: ai đang gọi hàm nào, số dư thay đổi ra sao, có bất thường về volume không. Đây không phải là điều mới, nhưng trước đây nó chỉ dành cho các sàn lớn. Giờ đây, các quỹ đầu tư như Galaxy Digital hay Multicoin Capital bắt đầu yêu cầu các protocol phải có hệ thống monitoring 24/7 trước khi rót vốn.
Thứ hai, signer controls – kiểm soát chặt chẽ quyền ký. Đa số các vụ hack multisig đến từ việc một signer bị compromised không được phát hiện kịp thời. Các tổ chức yêu cầu danh sách signer phải được KYC, thay đổi quyền phải có thời gian delay, và mọi giao dịch ký phải được ghi lại và cảnh báo. Điều này giống như chuyển từ một cánh cửa khóa đơn giản thành một phòng vault với nhiều lớp xác thực.
Thứ ba, event preparedness – chuẩn bị cho sự cố. Không chỉ là có kế hoạch, mà là có các smart contract dự phòng, khả năng tạm dừng giao thức (pause), và quy trình bồi thường đã được code sẵn. Một số quỹ yêu cầu protocol phải có 'insurance fund' trên chuỗi, hoặc ít nhất là một multisig có thể can thiệp khẩn cấp.
Cá nhân tôi thấy điểm thú vị nhất là sự chuyển dịch từ 'trust but verify' sang 'verify, then monitor, then verify again'. Các tổ chức đang xây dựng đội ngũ bảo mật nội bộ, sử dụng các công cụ như Forta, Tenderly, hay dịch vụ của chính Hacken để liên tục quét các bất thường. Họ không còn dựa vào một báo cáo audit duy nhất nữa.
Contrarian: Liệu monitoring có phải là con dao hai lưỡi?
Nhưng hãy dừng lại một chút. Tôi là ENTP, tôi thích phá vỡ những lối mòn. Và đây là góc nhìn phản trực giác của tôi: việc các tổ chức đổ xô vào continuous monitoring có thể tạo ra một ảo tưởng an toàn mới, thậm chí còn nguy hiểm hơn.
Trước hết, monitoring tạo ra 'noise'. Bạn sẽ nhận được hàng trăm cảnh báo mỗi ngày, phần lớn là false positive. Các đội ngũ bảo mật dần trở nên mệt mỏi, bỏ qua các cảnh báo quan trọng. Tôi đã thấy điều này xảy ra tại một sàn giao dịch mà tôi từng cộng tác: họ thiết lập bot monitoring, nhưng sau hai tuần, họ bỏ qua một cảnh báo về rút tiền bất thường vì 'nó toàn báo động giả'. Và đó là lúc họ mất 2 triệu USD.
Thứ hai, monitoring chỉ tốt bằng dữ liệu bạn đưa vào. Nếu bạn không có context đúng, bạn sẽ không phát hiện được các tấn công tinh vi – như một kẻ tấn công chia nhỏ giao dịch qua nhiều tài khoản để tránh threshold. Các attacker cũng học cách tránh monitoring, giống như họ đã học cách vượt audit.
Thứ ba, và đây là điểm mù lớn nhất: bản thân các công ty bảo mật như Hacken đang bán dịch vụ monitoring. Báo cáo của họ tất nhiên sẽ khuyến khích bạn mua dịch vụ đó. Tôi không nói rằng họ sai, nhưng hãy nhìn vào động cơ: khi một thợ cắt tóc nói đầu bạn cần cắt, bạn có nên tin ngay không?
Tôi từng chứng kiến một quỹ đầu tư chi 500.000 USD cho một hệ thống monitoring mà sau đó họ không bao giờ dùng đến vì quá phức tạp. Họ mua nó chỉ để 'check box' trong due diligence của LP. Đó là một dạng greenwashing bảo mật.
Takeaway: Cuộc đua không có đích
Vậy câu trả lời là gì? Theo kinh nghiệm 10 năm săn tin của tôi, không có giải pháp đơn lẻ. Các tổ chức cần kết hợp cả audit truyền thống (để bắt lỗi logic code) lẫn monitoring (để phát hiện bất thường vận hành), nhưng quan trọng hơn, họ cần phát triển một văn hóa bảo mật: sẵn sàng dừng giao thức khi nghi ngờ, có kế hoạch khôi phục rõ ràng, và không bao giờ tin tưởng tuyệt đối vào bất kỳ một lớp bảo vệ nào.
Điều khiến tôi trăn trở là: liệu chúng ta có đang chạy theo một giải pháp mới – monitoring – mà quên rằng kẻ tấn công luôn đi trước một bước? Hay đây chỉ là một vòng xoáy mới của 'security theater' trong ngành crypto? Câu trả lời, như mọi khi, nằm ở dữ liệu. Và tôi sẽ tiếp tục theo dõi, bởi vì trong thế giới này, người săn tin nhanh nhất mới là người chiến thắng.