DeFi Summer đã qua, nhưng câu hỏi về giới hạn của công nghệ vẫn chưa có lời đáp. Mới đây, một vụ tấn công mới trên BNB Chain đã làm tôi nhói lòng: kẻ xấu dùng smart contract để phân phối malware thông qua một trang CAPTCHA giả. Không có lỗ hổng consensus, không có pool bị drain. Chỉ là một smart contract thuần túy, được triển khai trên một chain rẻ và nhanh, để lừa người dùng tải về phần mềm độc hại. Tôi nhìn vào bản tin đó, và tôi thấy một vết nứt mới trong câu chuyện về sự phi tập trung.
Hãy cùng tôi đặt bối cảnh. BNB Chain, với chi phí gas chỉ vài cent và thời gian xác nhận trong 3 giây, từ lâu đã là sân chơi của những nhà phát triển và người dùng muốn tránh phí đắt đỏ của Ethereum. Nhưng chính sự rẻ và nhanh đó lại biến nó thành một bệ phóng hoàn hảo cho các cuộc tấn công xã hội. Kẻ tấn công không cần phải hack gì cả; họ chỉ cần triển khai một smart contract chứa đường dẫn đến trang CAPTCHA giả, rồi dùng social engineering để dụ người dùng click. Một khi người dùng tải file độc hại, máy tính của họ bị kiểm soát. Và smart contract đó, một khi đã lên chain, sẽ không thể xóa được. Đó là bản chất của immutability – tính bất biến. Một tính năng từng được ca ngợi như lá chắn chống lại sự kiểm duyệt, giờ lại trở thành một cái bẫy vĩnh viễn.
Trong suốt 13 năm quan sát ngành, tôi đã chứng kiến nhiều cuộc tấn công. Năm 2017, khi tôi còn là sinh viên thạc sĩ ở Bogotá, tôi đọc whitepaper Ethereum trong một đêm mưa và nghĩ rằng blockchain sẽ thay đổi dòng chảy thanh khoản toàn cầu. Tôi đầu tư 100 USD vào ICO Status.im, và rồi nó thất bại. Bài học đầu tiên: công nghệ không phải là tất cả, con người mới là yếu tố quyết định. Năm 2020, DeFi Summer nổ ra, tôi tham gia yield farming, kiếm được 600 USD trong hai tháng, nhưng tôi cảm thấy kiệt sức khi thấy mọi người lao vào những pool lợi suất 500% mà không hiểu rủi ro. Là một INFJ, tôi lý tưởng hóa DeFi như một công cụ tài chính công bằng, nhưng thực tế lại là một ván cờ đầu cơ. Tôi đã từng mất 4000 USD trong vụ sụp đổ Terra Luna, và tôi phải đi trekking ở Sierra Nevada để tìm lại niềm tin. Và giờ, tôi thấy một vụ tấn công mới, không làm sụp đổ một chain nào, nhưng nó tấn công vào chính niềm tin của người dùng.
Điểm cốt lõi ở đây là: đây không phải là một lỗi kỹ thuật, mà là một sự khai thác triệt để các đặc tính kinh tế và kỹ thuật của blockchain. Hãy nhìn vào con số: chi phí triển khai một smart contract trên BNB Chain chỉ khoảng 0.05 đến 0.3 USD. Với 100 USD, kẻ tấn công có thể triển khai hàng trăm contract, mỗi contract là một đường dẫn mới, một địa chỉ mới. Các công cụ bảo mật truyền thống dựa trên blacklist URL sẽ không thể theo kịp. Tính bất biến của blockchain, vốn là một đặc tính bảo mật, lại trở thành một điểm yếu khi nó được dùng để lưu trữ nội dung độc hại. Hãy tưởng tượng: một smart contract không thể bị xóa, không thể bị sửa. Nếu một contract được dùng để phân phối malware, nó sẽ tồn tại mãi mãi, trừ khi có một cơ chế governance can thiệp – nhưng governance trên BNB Chain, với chỉ 42 validator và sự ảnh hưởng của Binance, lại là một chủ đề nhạy cảm. Đây là một vòng luẩn quẩn: càng phi tập trung, càng khó dọn dẹp; càng tập trung, càng mất đi tinh thần của crypto.
Tôi muốn đưa ra một góc nhìn phản trực giác: vụ tấn công này không cho thấy BNB Chain yếu kém, mà nó cho thấy sự trưởng thành của hệ sinh thái tội phạm mạng. Kẻ tấn công đã chọn BNB Chain vì nó kinh tế nhất. Nếu họ chọn Ethereum, chi phí gas sẽ cao hơn gấp 10 lần, làm giảm lợi nhuận. Vậy nên, đây thực chất là một bài toán kinh tế học. Và điều đáng sợ hơn là: kẻ tấn công có thể đã triển khai cùng một mẫu contract trên nhiều chain khác, nhưng chỉ có BNB Chain mới đủ rẻ để biến nó thành một chiến dịch quy mô lớn. Điều này cũng cho thấy một điểm mù trong tư duy bảo mật hiện tại: chúng ta thường tập trung vào việc bảo vệ smart contract khỏi lỗi code, nhưng lại quên mất rằng smart contract có thể là vũ khí tấn công chính nó. Hãy nhìn vào các sự kiện tương tự: CryptoRom, Mars Stealer – tất cả đều dùng dApp giả mạo để phân phối malware. Nhưng lần này, chúng ta có một bước tiến mới: smart contract được dùng như một kho chứa nội dung phi tập trung, khó bị gỡ bỏ.
Vậy chúng ta đang ở đâu trong chu kỳ này? Thị trường đang tăng, mọi người đang FOMO, và những vụ tấn công kiểu này thường bị bỏ qua. Nhưng với tôi, đây là một tín hiệu cần được chú ý. Không phải vì nó sẽ làm sụp đổ thị trường, mà vì nó làm xói mòn lòng tin của người dùng mới. Một người dùng mới, khi bị lừa bởi một CAPTCHA giả trên một trang web trông có vẻ hợp pháp, sẽ không bao giờ quay lại. Họ sẽ kể câu chuyện đó cho bạn bè, và câu chuyện đó sẽ lan xa hơn bất kỳ bài PR nào. Và đó là thiệt hại thực sự: không phải vài trăm USD bị mất, mà là hàng nghìn người dùng tiềm năng bị mất niềm tin vào toàn bộ hệ sinh thái.
Có lẽ, thứ chúng ta gọi là tiến bộ, đôi khi chỉ là một vòng lặp của những vấn đề cũ. DeFi Summer đã qua, nhưng câu hỏi về sự cân bằng giữa phi tập trung và an toàn vẫn chưa có lời đáp. Và tôi tự hỏi: liệu chúng ta có sẵn sàng từ bỏ một phần tính phi tập trung để có một môi trường an toàn hơn – hay chúng ta sẽ chấp nhận rủi ro như một cái giá phải trả cho tự do? Tôi không có câu trả lời. Nhưng tôi biết rằng, mỗi khi một vụ tấn công như thế này xảy ra, câu hỏi đó lại trở nên cấp bách hơn.