Thị trường giảm, doanh nghiệp tiền mã hóa sống sót nhờ danh sách kiểm tra an ninh? Mổ xẻ 'Bản kế hoạch' của BlockSec và NOWPayments

Bảy ngày. Không phải một quý, không phải một tháng. Chỉ bảy ngày, một giao thức thanh toán mất 40% thanh khoản. Tôi đã thấy điều đó xảy ra. Không phải do lỗ hổng hợp đồng thông minh cấp độ zero-day, mà là do một thứ tầm thường hơn nhiều: một khóa API bị lộ trong log của CI/CD. Kẻ tấn công chỉ việc rút toàn bộ tiền. CEO của dự án đó, một người bạn của tôi, đã gọi điện lúc 3 giờ sáng. “Tụi tao đã kiểm tra mọi thứ,” anh ta nói, giọng khản đặc. Không. Họ đã không kiểm tra đúng thứ. Và đó là lý do tại sao bản phát hành hôm nay của NOWPayments và BlockSec lại quan trọng đến vậy. Là một kiến trúc sư quản trị DAO, tôi đã sống trong thế giới của những vụ hack và thoát hiểm trong gang tấc suốt tám năm qua. Tôi đã audit mã nguồn các ICO vào năm 2017, chứng kiến lũ lượt các dự án DeFi sụp đổ vào năm 2022 vì những lỗi mà lẽ ra có thể tránh được. Điểm chung của tất cả? Không phải sự tinh vi của kẻ tấn công, mà là sự hỗn loạn trong quy trình vận hành của chính nạn nhân. Một công ty chấp nhận thanh toán bằng tiền mã hóa thường có: một đội dev trẻ nhiệt huyết, một CEO tập trung vào tăng trưởng, một đội pháp chế đọc tài liệu AML, và một kế toán chưa từng nhìn thấy địa chỉ ví. Họ đều nói những ngôn ngữ khác nhau. Họ đều có những ưu tiên khác nhau. Và trong cơn sốt thị trường, không ai có một danh sách duy nhất để kiểm tra. Bản danh sách kiểm tra an ninh thanh toán tiền mã hóa do NOWPayments, một cổng thanh toán hỗ trợ hơn 350 loại tiền mã hóa và 30 stablecoin, và BlockSec, một công ty an ninh blockchain toàn diện, công bố, nhằm lấp đầy khoảng trống đó. Nhưng đừng nhầm lẫn. Đây không phải là một bản white paper cách mạng. Đây là một bộ cờ lê và tuốc nơ vít. Nó không phát minh ra an ninh. Nó chuẩn hóa nó. Tôi đã xem qua 25 điểm kiểm soát, được chia thành chín lĩnh vực: từ an ninh khóa cá nhân và ví, hợp đồng thông minh, xác minh và ký giao dịch, quản lý danh tính/tài khoản/vận hành, an ninh DNS và tên miền, giám sát trên chuỗi và ứng phó sự cố, tuân thủ kỹ thuật AML/CFT, đến quản lý rủi ro đóng băng stablecoin. Đây là một bản đồ. Vấn đề là, ai sẽ đọc nó? Andy Zhou, đồng sáng lập BlockSec và là giáo sư tại Đại học Trung Văn Hồng Kông, đã nói đúng: “Mở một luồng thanh toán tiền mã hóa dễ như ăn bánh, nhưng bảo vệ nó thì không.” Theo kinh nghiệm audit của tôi, những lỗi phổ biến nhất luôn xoay quanh ba thứ: quản lý khóa yếu, phê duyệt giao dịch không được kiểm tra, và thiếu quy trình ứng phó sự cố. Danh sách này giải quyết từng thứ một. Nó buộc một công ty phải trả lời các câu hỏi khó: Ai có quyền truy cập vào private key? Chúng ta có một số điện thoại để gọi khi stablecoin bị đóng băng không? Chúng ta có một script để đuổi theo tiền nếu bị hack không? Câu trả lời cho hầu hết các công ty khởi nghiệp là “không”, và đó là lý do tại sao họ thất bại. Nhưng có một góc nhìn phản trực giác mà tôi muốn đào sâu, một điểm mù mà hầu hết các nhà phân tích đều bỏ qua. Bản danh sách này, dù hữu ích, nhưng lại tạo ra một sự an toàn giả tạo nguy hiểm. Hãy nghĩ xem: Khi bạn có một danh sách, bạn sẽ có xu hướng kiểm tra nó và nghĩ rằng mình đã an toàn. Đây là cái bẫy của sự tuân thủ. Bạn hoàn thành 25 điểm, bạn in ra một tờ giấy, bạn cảm thấy dễ chịu. Nhưng thực tế? An ninh là một quá trình, không phải một sự kiện. Kẻ tấn công không quan tâm đến danh sách của bạn. Chúng quan tâm đến điểm yếu mà bạn chưa từng nghĩ tới. Danh sách này có thể bảo vệ bạn khỏi 80% các cuộc tấn công phổ biến, nhưng 20% còn lại – những cuộc tấn công tinh vi, có chủ đích – sẽ xuyên thủng nó. Tôi đã thấy các dự án thoải mái vì “đã làm theo checklist”, và sau đó bị tấn công bởi một vector mà danh sách không đề cập đến. Động lực thực sự của thanh toán crypto tại các nước đang phát triển không phải lý tưởng blockchain; mà là lạm phát tiền tệ địa phương buộc người ta tìm phương án sinh tồn. Và trong sự sinh tồn đó, một danh sách là cần thiết, nhưng chưa bao giờ là đủ. Vậy, tương lai nằm ở đâu? Không phải ở việc tạo ra những danh sách dài hơn. Sự tiến bộ thực sự đến từ việc tự động hóa. Hãy tưởng tượng một tương lai nơi các công ty thanh toán không tự kiểm tra an ninh, mà là tích hợp các robot giám sát tự động – công cụ như của BlockSec – để liên tục quét các điểm yếu. Danh sách này là một bước đệm tốt. Nhưng câu hỏi thực sự là: Khi nào bạn sẽ tự động hóa nó?