Một buổi sáng tháng 4/2024, thị trường trái phiếu chính phủ Mỹ bỗng dưng biến động bất thường trước giờ công bố biên bản FOMC. Chỉ vài giờ sau, tin tức xuất hiện: một cựu cố vấn của Cục Dự trữ Liên bang (Fed) đã bị kết án tù vì nói dối về hành vi chia sẻ dữ liệu mật. Bản án không phải án treo, không phải tiền phạt - là ngồi tù thật. Đối với một kẻ đã dành 5 năm audit smart contract trên Ethereum, tôi thấy một sự tương đồng kỳ lạ giữa vụ án này và một lỗ hổng reentrancy trong Aave V2: cả hai đều đến từ một điểm mù trong kiểm soát truy cập (access control).
Audit xong rồi? Hãy đợi vài block.
Hãy nhìn vào cấu trúc quyền hạn tại Fed. Các cố vấn cấp cao có quyền truy cập vào dữ liệu kinh tế nhạy cảm trước khi công bố – những con số về CPI, tỷ lệ thất nghiệp, và quan trọng nhất, các lựa chọn chính sách của Ủy ban Thị trường Mở. Hệ thống này hoạt động dựa trên một niềm tin: rằng những người được truy cập sẽ không tiết lộ. Nói cách khác, nó hoàn toàn dựa vào “hợp đồng niềm tin” giữa các bên liên quan. Trong thế giới DeFi, kiểu thiết kế đó chính là “admin key” hay “owner privilege” – một trái tim đập bên ngoài lớp armor.
DeFi bảo mật: không có điểm kết thúc.
Vào năm 2021, tôi từng audit một giao thức lending trên Fantom. Họ dùng một cơ chế “timelock + multisig” để kiểm soát các tham số rủi ro. Đó là một bước tiến tốt, nhưng tôi tìm ra rằng trong 24 giờ giữa khi đề xuất được ký và khi timelock hết hiệu lực, một người nắm private key của 2/3 multisig đã có thể bí mật rút toàn bộ thanh khoản về ví riêng. Kẻ tấn công không cần hack contract – chỉ cần hack niềm tin. Vụ Fed cũng vậy. Người cố vấn kia không hack máy chủ; anh ta chỉ đơn giản là có quyền truy cập và quyết định chia sẻ.
Điều gì làm cho vụ này trở nên đặc biệt? Không chỉ là bản án tù – mà là thông điệp. Toà án đã phán quyết rằng việc làm suy giảm niềm tin vào tính bí mật của chính sách tiền tệ là một tội ác có thể dẫn đến án tù. Đây là một tín hiệu “răn đe” (deterrence) mà các nhà làm luật muốn gửi đến toàn bộ giới tài chính: hệ thống cần được bảo vệ ngay cả khi không có bằng chứng về thiệt hại tài chính cụ thể. Trong audit bảo mật, chúng tôi gọi đó là “class of vulnerability” – một lỗ hổng không gây ra hậu quả ngay lập tức nhưng có thể được khai thác bất cứ lúc nào.
Tuy nhiên, có một góc nhìn phản trực giác: bản án này có thực sự củng cố niềm tin vào hệ thống? Hay nó chỉ làm lộ ra rằng Fed đang phải dùng đến tòa án để bảo vệ một cấu trúc vốn dĩ bất ổn? Hãy nhìn vào các layer-2 rollup: khi một sequencer bị tấn công, họ có thể suspend và nâng cấp contract. Fed thì không thể “nâng cấp” con người. Cách duy nhất để ngăn chặn rò rỉ là dùng án tù. Điều này cho thấy cốt lõi của vấn đề: bất kỳ hệ thống tập trung nào, cho dù có bao nhiêu lớp bảo vệ, đều tồn tại một điểm yếu duy nhất ở lớp “niềm tin vào con người”. Trong khi đó, blockchain với tính năng public verification và transparent execution giúp giảm thiểu rủi ro kiểu này. Một smart contract cần đến quyền truy cập sẽ được code cứng nhắc, không thể bị mua chuộc.
Vậy bài học cho thị trường crypto là gì? Trong ngắn hạn, vụ án này không ảnh hưởng trực tiếp đến giá Bitcoin hay ETH. Nó không làm thay đổi lãi suất hay thanh khoản. Nhưng nó củng cố một luận điểm mà tôi đã theo đuổi từ năm 2017: các tài sản phi tập trung không phải là phi đạo đức hơn - chúng chỉ đơn giản là có một rủi ro khác. Rủi ro của Bitcoin là volatility, rủi ro của Ethereum là contract bug, rủi ro của Fed là con người. Khi bạn đầu tư vào crypto, bạn đang đánh cược rằng lỗi con người sẽ xảy ra thường xuyên hơn ở các tổ chức trung ương so với mã nguồn mở. Vụ án này cho thấy ngay cả Fed cũng không thoát khỏi “human error” nghiêm trọng đến mức dẫn đến tù tội.
Tôi audit, vì vậy tôi không tin ai. Câu nói này đã trở thành kim chỉ nam cho tôi sau khi chứng kiến hàng chục dự án bị exploit vì admin key. Và bây giờ, nó cũng áp dụng cho các ngân hàng trung ương.
Tạm kết: Fed đã gửi một thông điệp rõ ràng về việc bảo vệ thông tin nội bộ. Nhưng thông điệp đó sẽ không ngăn được những kẻ có quyền truy cập cao hơn. Một người cố vấn ngồi tù không làm cho hệ thống trở nên an toàn hơn; nó chỉ làm cho các kênh rò rỉ tiềm năng trở nên tinh vi hơn. Trong DeFi, chúng tôi gọi đó là “cat-and-mouse game”. Và như mọi game, chỉ có một cách thực sự kết thúc: loại bỏ hoàn toàn quyền truy cập đặc quyền. Liệu có ai dám áp dụng điều đó cho Fed vào năm 2024? Đợi vài block nữa, ta sẽ thấy.