Một buổi sáng thứ Hai, team của Humanity Protocol nhận được cảnh báo từ hệ thống giám sát on-chain. 36 triệu USD — tương đương gần 900 tỷ đồng — đã biến mất khỏi các ví nóng chỉ trong vài giờ. Không có reentrancy, không có oracle manipulation, không có flash loan. Những kẻ tấn công đã không khai thác một dòng code nào. Chúng khai thác con người.
Đây là cú sốc lớn nhất trong lịch sử của giao thức nhận dạng phi tập trung này. Founder của dự án, trong một bài đăng ngắn, thừa nhận: “Kẻ xấu đã chuyển từ khai thác lỗ hổng smart contract sang khai thác hành vi con người”. Một câu nói tưởng chừng đơn giản, nhưng nó mở ra một vết nứt sâu hơn bất kỳ lỗi code nào.
Hãy lùi lại một chút. Humanity Protocol là một dự án trong mảng “Proof of Humanity” — xác thực rằng người dùng là người thật, không phải bot. Nó sử dụng các cơ chế như video call, xác minh sinh trắc học, và mạng lưới người bảo lãnh để chống Sybil. Về mặt kỹ thuật, smart contract của nó đã được nhiều audit firm uy tín kiểm tra. Nhưng 36 triệu USD đã bị lấy đi không qua một lỗi code nào. Điều đó có nghĩa: kẻ tấn công đã vượt qua được lớp bảo vệ “người thật” bằng cách… giả làm người thật một cách thuyết phục.
Cốt lõi của vấn đề nằm ở chỗ: bất kỳ hệ thống nào dựa vào con người để xác thực con người đều mang một điểm mù cố hữu. Bạn có thể audit smart contract, nhưng không thể audit lòng tin. Kẻ tấn công đã sử dụng social engineering tinh vi: tạo hàng loạt tài khoản giả với hồ sơ hoàn hảo, dùng deepfake để vượt qua xác minh khuôn mặt, và thao túng những người bảo lãnh bằng các khoản hối lộ được ngụy trang dưới dạng phí giao dịch. Đây không còn là lỗi của Solidity hay Rust. Đây là lỗi của thiết kế xã hội.
Điều phản trực giác ở đây là: Humanity Protocol càng thành công trong việc chống bot, nó càng tạo ra một lớp khan hiếm nhân tạo — và giá trị của một tài khoản “người thật” càng tăng. Điều đó biến mỗi tài khoản thành một mục tiêu có giá trị cao. Kẻ tấn công không cần phá vỡ mật mã; chúng chỉ cần mua chuộc hoặc đánh cắp danh tính của những người thật đã được xác minh. Giống như một ngân hàng có két sắt kiên cố nhất, nhưng nhân viên lại dễ bị mua chuộc.
Tôi nhớ lại bài học từ ICO DataMine năm 2017 — khi tôi mất 150.000 USD vì tin vào một đội ngũ ẩn danh mà không có whitepaper. Lúc đó, tôi nghĩ vấn đề là thiếu trustless. Nhưng bây giờ, khi nhìn vào Humanity Protocol, tôi nhận ra: trustless không phải là đích đến. Trustless chỉ là một công cụ. Còn kẻ tấn công luôn tìm cách lách qua khe hở giữa code và con người.
Contrarian Angle: Nhiều người sẽ đổ lỗi cho team vì không bảo vệ ops tốt hơn. Nhưng sự thật sâu xa hơn: trong bất kỳ hệ thống nào có yếu tố con người, bảo mật tuyệt đối là không thể. DeFi đã dạy chúng ta rằng smart contract có thể được chứng minh là an toàn về mặt toán học. Nhưng còn con người thì không. Mỗi lần chúng ta thiết kế một giao thức dựa vào “bằng chứng con người”, chúng ta đang đặt cược vào khả năng chống lại sự thao túng xã hội — một cuộc chiến mà kẻ tấn công luôn có lợi thế vì chúng chỉ cần một lỗ hổng, còn người bảo vệ phải đóng mọi cánh cửa.
Takeaway: Humanity Protocol sẽ phải đối mặt với một ngã rẽ. Một là chấp nhận rủi ro và tăng cường OpSec đến mức gần như độc tài (yêu cầu video call với nhiều người cùng lúc, lưu trữ dữ liệu sinh trắc học phi tập trung nhưng vẫn có thể bị tấn công). Hai là quay trở lại bảng vẽ và thiết kế lại cơ chế tin cậy – có lẽ kết hợp với zk-proofs để chứng minh “con người” mà không cần tiết lộ danh tính. Nhưng bài học lớn nhất cho toàn ngành là: chúng ta đã quá tập trung vào audit code, mà quên rằng điểm yếu nhất của blockchain vẫn là con người ở hai đầu sợi dây chuyền.
Sáng hôm sau, tôi mở Twitter thấy hàng loạt bài chỉ trích team. Tôi không tham gia. Bởi tôi biết, nếu đặt mình vào vị trí của họ, tôi cũng không chắc mình làm tốt hơn. Vấn đề không phải là code. Vấn đề là chúng ta đang xây dựng những tòa tháp trên nền cát – và cát ấy là lòng tin con người.