Tác giả gốc: BlockSec

giới thiệu

Khi sự phát triển của DeFi tiếp tục định hình lại bối cảnh tài chính, bảo mật luôn là thách thức lớn mà hệ sinh thái DeFi phải đối mặt. Các vấn đề bảo mật gây ra tổn thất tài sản hàng tỷ đô la mỗi năm.

Theo Chainalysis, các cuộc tấn công hack DeFi đã gây thiệt hại tài sản hơn 1,1 tỷ USD vào năm 2023. Mặc dù con số này đã giảm so với năm 2022 nhưng xu hướng tấn công DeFi mới đã xuất hiện vào năm 2023. Ví dụ, một số giao thức nổi tiếng đã hoạt động an toàn trong thời gian dài như Curve và KyberSwap cũng bị tấn công. Ngoài ra, các cuộc tấn công tinh vi nhắm vào các lỗ hổng cơ sở hạ tầng như Flashbots Relay đã xuất hiện.

Dữ liệu của Bảng thông tin sự cố bảo mật cho thấy trong nửa đầu năm 2024, đã có hơn 50 cuộc tấn công của hacker gây thiệt hại hơn 100.000 USD.

Các cuộc tấn công gần đây của hacker (Nguồn: Security Incident Dashboard)

🔗 https://app.blocksec.com/explorer/security-incidents

Bảo mật là yếu tố quan trọng đối với sự phát triển của các giao thức DeFi. Một số giao thức quản lý tài sản của người dùng trị giá hàng tỷ đô la và các sự cố bảo mật có thể gây ra tổn thất đáng kể cho người dùng. Mặc dù trong một số trường hợp số tiền bị đánh cắp có thể được phục hồi (một phần) (chẳng hạn như cuộc tấn công Euler), chúng tôi không thể đặt hy vọng hoàn toàn vào điều này. Mọi sự cố tấn công đều làm suy yếu niềm tin của người dùng vào DeFi.

Mặc dù ngành đã đề xuất nhiều biện pháp để tăng cường bảo mật nhưng vẫn còn rất nhiều chỗ cần cải thiện về bảo mật DeFi. Về mặt tích cực, việc kiểm tra mã đã trở thành sự đồng thuận của cộng đồng và hầu hết các giao thức sẽ được kiểm tra trước khi đưa lên mạng, điều này giúp giảm nguy cơ bị tấn công do lỗ hổng hợp đồng thông minh gây ra. Tuy nhiên, chỉ kiểm tra mã thôi thì chưa đủ để giải quyết tất cả các vấn đề bảo mật. Kiểm tra mã không thể ngăn chặn các cuộc tấn công do lỗ hổng gây ra khi nâng cấp hợp đồng, thay đổi cấu hình và phụ thuộc bên ngoài. Với những hạn chế này, một số giao thức đang bắt đầu áp dụng các giải pháp chủ động hơn như hệ thống giám sát hoạt động và phát hiện tấn công.

Trong bài viết này, chúng ta sẽ xem xét tổng quan về các biện pháp bảo mật mà giao thức có thể thực hiện từ các giai đoạn trước khi ra mắt, sau khi ra mắt và phản ứng với cuộc tấn công để hiểu được bức tranh toàn cảnh về bảo mật DeFi. Chúng ta sẽ xem xét kỹ hơn từng loại sáng kiến bảo mật và các nhà cung cấp/sản phẩm chính của nó cũng như những ưu và nhược điểm của chúng. Tôi hy vọng bài viết này có thể giúp cộng đồng hiểu rõ hơn về hiện trạng bảo mật DeFi và truyền cảm hứng cho các giải pháp bảo mật sáng tạo.

Toàn cảnh bảo mật DeFi

Các biện pháp bảo mật của giao thức DeFi phải xuyên suốt toàn bộ vòng đời của giao thức từ trước khi khởi chạy cho đến sau khi khởi chạy, đảm bảo tính bảo mật của chính giao thức và trong quá trình hoạt động của nó. Điều quan trọng nữa là phải có sẵn các biện pháp phòng ngừa và kế hoạch ứng phó đối với các cuộc tấn công tiềm ẩn. Để giúp người đọc hiểu rõ những giải pháp bảo mật DeFi hiện có, chúng tôi đã chia các nhà cung cấp (sản phẩm) có liên quan thành các danh mục sau.

Bảo mật trước khi ra mắt

Các biện pháp bảo mật có thể được thực hiện trước khi giao thức trực tuyến bao gồm kiểm tra mã, xác minh chính thức và kiểm tra bảo mật.

Dịch vụ kiểm tra mã & cuộc thi

Kiểm tra mã là một phương pháp được cộng đồng công nhận để đảm bảo an ninh giao thức. Trong quá trình này, công ty bảo mật sẽ tiến hành xem xét bán tự động mã bị đóng băng, tức là tự động quét các lỗ hổng phổ biến trong mã, sau đó xem xét thủ công các lỗ hổng phức tạp mà các công ty kiểm toán đại diện bao gồm OpenZeppelin, ChainSecurity, BlockSec, v.v.

Ngoài ra, còn có một nền tảng cạnh tranh kiểm toán. Không giống như các công ty kiểm toán trực tiếp cung cấp dịch vụ kiểm toán, các nền tảng này công khai các yêu cầu kiểm toán, thu hút các nhà nghiên cứu bảo mật trong cộng đồng tham gia vào các cuộc thi kiểm toán và phân bổ phần thưởng cho những thí sinh phát hiện ra lỗ hổng giao thức. Các nền tảng cạnh tranh kiểm toán bao gồm Code 4 rena, SHERLOCK, Cantina, Secure 3, v.v. Mỗi nền tảng có một số khác biệt về mức độ nghiêm trọng của lỗ hổng, phần thưởng phân phối và tiêu chí tham gia.

Kiểm tra mã là tuyến phòng thủ đầu tiên để bảo mật giao thức. Tuy nhiên, nó cũng có một số hạn chế, đó là lý do tại sao nhiều giao thức được kiểm toán bởi các công ty uy tín vẫn không an toàn trước tin tặc.

• Đầu tiên, kiểm tra mã tĩnh không thể giải quyết các vấn đề bảo mật do sự phụ thuộc vào giao thức gây ra, vấn đề này càng trở nên trầm trọng hơn do khả năng kết hợp của các giao thức DeFi.

• Thứ hai, trong quá trình kiểm tra mã, một số vấn đề chưa được quan tâm đúng mức. Ví dụ: mất tính chính xác là một vấn đề phổ biến mà kiểm toán viên và các bên thỏa thuận có thể không chú ý. Phải đến khi xảy ra sự cố Trăm tài chính và Kênh tài chính, cộng đồng mới nhận ra đầy đủ ý nghĩa bảo mật của việc mất độ chính xác.

• Cuối cùng, kiểm tra mã chất lượng cao vẫn là một nguồn lực khan hiếm, đòi hỏi tài năng liên ngành với kiến thức về bảo mật, tài chính và khoa học máy tính mà ít trường đại học hiện cung cấp trên cơ sở bền vững và ở quy mô lớn. Vì vậy, mặc dù một số thỏa thuận đã được kiểm toán nhưng tính chuyên nghiệp của kiểm toán viên cung cấp dịch vụ kiểm toán là chưa đủ.

Xác minh chính thức

“Xác minh chính thức sử dụng các phương pháp toán học để chứng minh tính đúng đắn hoặc không chính xác của hệ thống dựa trên một số đặc điểm hoặc đặc tính chính thức có thể đảm bảo rằng hoạt động của giao thức DeFi tuân thủ đặc điểm kỹ thuật chính thức.” Ví dụ: Prover, do Certora phát triển, có thể thực hiện xác minh chính thức các giao thức DeFi. Các nhà phát triển cung cấp các quy tắc (thông số kỹ thuật) và Prover sẽ khám phá mọi trạng thái chương trình có thể có, so sánh kết quả với các quy tắc và xác định các lỗ hổng.

Ưu điểm lớn nhất của xác minh chính thức là khả năng chứng minh về mặt toán học tính chính xác của các giao thức DeFi quản lý hàng tỷ tài sản. Tuy nhiên, một số hạn chế trong ứng dụng thực tế đã cản trở việc áp dụng rộng rãi nó.

• Đầu tiên, thông số kỹ thuật cần phải được cung cấp bởi các nhà phát triển, điều này yêu cầu các nhà phát triển phải có tài liệu chi tiết về hoạt động dự kiến của giao thức và hầu hết các nhà phát triển đều không phải là chuyên gia trong lĩnh vực này.

• Thứ hai, việc nâng cấp giao thức thường xuyên có thể yêu cầu cập nhật thông số kỹ thuật và đánh giá lại giao thức, và một số giao thức có thể không thể dành nhiều thời gian và năng lượng như vậy.

Bất chấp những hạn chế này, chúng tôi vẫn tin rằng các giao thức phải được xác minh chính thức, đặc biệt là các giao thức mới chưa được kiểm tra theo thời gian và quản lý lượng lớn tài sản của người dùng. Tuy nhiên, làm thế nào để nâng cao khả năng hoạt động của xác minh chính thức và tăng tỷ lệ áp dụng nó vẫn là một thách thức lớn hiện nay.

Kiểm tra bảo mật

Kiểm tra bảo mật sử dụng các trường hợp kiểm thử để phát hiện các vấn đề tiềm ẩn trong giao thức. So với xác minh chính thức chứng minh tính đúng đắn của giao thức thông qua các phương pháp toán học, kiểm tra bảo mật thường sử dụng dữ liệu đầu vào cụ thể (chứ không phải đầu vào tượng trưng trong xác minh chính thức), do đó hiệu quả hơn nhưng kém toàn diện hơn một chút.

Foundry là một framework thử nghiệm và phát triển hợp đồng thông minh phổ biến. Các nhà phát triển có thể thực hiện thử nghiệm trong Foundry và cũng có thể thực hiện thử nghiệm vi phân, thử nghiệm bất biến và thử nghiệm vi phân trên các giao thức DeFi. Các công cụ kiểm tra bảo mật khác bao gồm Tenderly và Hardhat.

Bảo mật sau khi ra mắt

Các biện pháp bảo mật có thể được thực hiện sau khi giao thức trực tuyến bao gồm Bug Bounty, phát hiện tấn công và giám sát hoạt động.

Tiền thưởng lỗi

Bug Bounty thu hẹp khoảng cách giữa các giao thức và nhà nghiên cứu bảo mật. Giao thức phát hành chương trình tiền thưởng trên nền tảng Bug Bounty, nêu chi tiết phạm vi tiền thưởng và số tiền thưởng. Các nhà nghiên cứu bảo mật nhận được phần thưởng bằng cách báo cáo các lỗ hổng zero-day trong giao thức. Immunefi là một nền tảng Web3 Bug Bounty tiêu biểu.

Phát hiện tấn công

Nền tảng phát hiện tấn công xác định các giao dịch độc hại bằng cách quét các giao dịch. Cụ thể, các nền tảng này quét mọi giao dịch tương tác với giao thức để phát hiện hành vi nguy hiểm và hệ thống sẽ kích hoạt cảnh báo khi xác định được giao dịch độc hại.

Ví dụ: BlockSec Phalcon quét mọi nhóm bộ nhớ và giao dịch trên chuỗi để xác định các hành vi độc hại (như hợp đồng độc hại và đề xuất độc hại) bằng cách phân tích các đặc điểm hành vi của giao dịch. Nó giống như một người bảo vệ không ngủ theo dõi từng chi tiết của mọi giao dịch để tìm kiếm những xu hướng bất thường. Nó trích xuất các mô hình hành vi từ các giao dịch này và sử dụng các mô hình tài chính (tương tự như các mô hình được ngân hàng sử dụng để phát hiện gian lận) để xác định các cuộc tấn công tiềm ẩn. Các hệ thống tương tự bao gồm các sản phẩm từ Hypernative và Hexagate. Ngoài ra, Mạng bảo mật Venn của Ironblocks cung cấp cơ sở hạ tầng phi tập trung có khả năng tổng hợp các kết quả phát hiện từ nhiều nguồn.

Giám sát vận hành

Đúng như tên gọi, khung giám sát hoạt động sẽ giám sát tính bảo mật hoạt động của giao thức sau khi nó đi vào hoạt động. Ví dụ: nó có thể giám sát các thay đổi về khóa của quản trị viên, triển khai và cập nhật hợp đồng thông minh trong thời gian thực, đồng thời tự động phát hiện các lỗ hổng bảo mật trong các yêu cầu kéo. Nền tảng OpenZeppelin Defender có thể giúp các nhà phát triển viết, triển khai và chạy các hợp đồng thông minh một cách an toàn. BlockSec Phalcon có thể giám sát việc nâng cấp hợp đồng, các giao dịch Ví an toàn (chẳng hạn như được bắt đầu, ký mới, thực thi), kiểm soát truy cập và các rủi ro liên quan đến quản trị. Ngoài ra, thông qua hệ thống giám sát thời gian thực Forta Network, người dùng có thể tạo giao thức giám sát robot hoặc đăng ký các robot hiện có để nhận cảnh báo về các mối đe dọa bảo mật như lừa đảo.

Phản ứng tấn công

Các biện pháp bảo mật được tự động kích hoạt hoặc thực hiện khẩn cấp sau khi một cuộc tấn công xảy ra, bao gồm chặn tấn công, phản hồi tự động, Phòng chiến tranh, phân tích nguyên nhân tấn công và theo dõi dòng quỹ của kẻ tấn công.

Trong số năm biện pháp ứng phó này, việc ngăn chặn tấn công đặc biệt đáng chú ý vì nhóm dự án có thể triển khai trước để chặn các cuộc tấn công trước khi chúng xảy ra và giảm tổn thất về 0. Nền tảng phản ứng tự động cũng giúp giảm tổn thất do các cuộc tấn công gây ra.

Thiết lập Phòng chiến tranh, tiến hành phân tích nguyên nhân tấn công và theo dõi dòng tiền là những biện pháp đối phó được thực hiện sau một cuộc tấn công. Mặc dù chúng có thể giúp giảm tổn thất và ngăn chặn các cuộc tấn công tương tự trong tương lai, nhưng chúng có thể gây ra tổn thất nặng nề khó phục hồi. Ngoài ra, tổn hại đến danh tiếng của dự án và mất lòng tin của người dùng có thể gây ra những hậu quả tiêu cực sâu rộng. Rủi ro dường như ở khắp mọi nơi và khó ngăn chặn, nhưng các bên tham gia dự án không phải ứng phó một cách thụ động. Họ có thể triển khai trước các biện pháp phòng ngừa, đây cũng là một cách tiếp cận được khuyến khích hơn.

chặn tấn công

Phát hiện tấn công là một kênh quan trọng để tìm hiểu về các cuộc tấn công của hacker, nhưng nếu bạn muốn chống lại các cuộc tấn công của hacker, chỉ phát hiện thôi là chưa đủ. Bởi vì nếu không có khả năng chặn tấn công tự động thì thường sẽ quá muộn để thực hiện các biện pháp ứng phó thủ công. Lấy các cuộc tấn công KyberSwap, Gamma Strategies và Telcoin làm ví dụ. Các giao thức này thực hiện các biện pháp phản hồi vài phút hoặc thậm chí vài giờ sau cuộc tấn công. Trong khoảng thời gian này, tin tặc đã thực hiện nhiều giao dịch tấn công và đánh cắp số lượng tài sản khổng lồ. Các cuộc tấn công Velocore và Rho vào tháng 7 đã khiến toàn bộ chuỗi Linea và Scroll tạm dừng hoạt động, thu hút sự chú ý của người dùng đến vấn đề tập trung của chuỗi L2.

Chặn tấn công tự động ngăn chặn các cuộc tấn công của hacker, dựa vào hai công nghệ cốt lõi: phát hiện sớm và tự động đánh chặn trước. Phát hiện sớm có nghĩa là các giao dịch tấn công có thể được xác định trước khi giao dịch được tải lên chuỗi và trong khi nó vẫn đang ở giai đoạn nhóm bộ nhớ. Tự động chạy trước là gửi một giao dịch chạy trước để tạm dừng giao thức trước khi giao dịch tấn công được tải lên chuỗi, từ đó ngăn chặn việc thực hiện giao dịch tấn công. Phương pháp này chặn cuộc tấn công trước khi nó thực sự xảy ra, do đó tránh được tổn thất.

Trong danh mục này, BlockSec Phalcon là sản phẩm duy nhất có các công nghệ cốt lõi này. Sau khi tin tặc bắt đầu giao dịch tấn công, công cụ giám sát tấn công của Phalcon có thể phát hiện trước giao dịch, đưa ra cảnh báo tấn công cho người dùng và tự động xử lý trước giao thức tạm dừng để giảm tổn thất xuống 0. Khả năng chặn tấn công của sản phẩm đã được xác minh trong hơn 20 cuộc giải cứu mũ trắng trước đây, tiết kiệm tài sản hơn 20 triệu USD.

phản ứng tự động

Ngoài các nền tảng chặn tấn công, các nền tảng như Phalcon, Hexagate, Hypernative, v.v. cũng có thể tự động phản hồi khi có cuộc tấn công xảy ra.

Sau khi đăng ký một nền tảng như vậy, người dùng có thể thiết lập các biện pháp giám sát và ứng phó đối với các rủi ro giao thức khác nhau. Nếu giao dịch đạt các quy tắc giám sát, hệ thống sẽ tự động bắt đầu các biện pháp phản hồi do người dùng đặt trước (chẳng hạn như tạm dừng giao thức), từ đó giảm tổn thất. Tuy nhiên, một số nền tảng không có công cụ phát hiện tấn công và hệ thống không thể trực tiếp xác định các giao dịch tấn công và thông báo cho người dùng. Thay vào đó, người dùng cần tùy chỉnh các điều kiện để xác định giao dịch là một cuộc tấn công. Do đặc điểm của các giao dịch tấn công rất phức tạp và người dùng (thường là nhà phát triển hợp đồng) không nhất thiết phải có đủ kiến thức về bảo mật nên điều này rất khó khăn đối với người dùng.

Phòng chiến tranh

Khi giao thức phải đối mặt với các cuộc tấn công, việc thiết lập Phòng chiến tranh là đặc biệt quan trọng. Điều này giúp quy trình nắm rõ tình hình, đồng bộ thông tin kịp thời với cộng đồng và tích hợp hiệu quả các nguồn lực để đưa ra biện pháp ứng phó, đòi hỏi sự hợp tác chặt chẽ từ các chuyên gia trong nhiều lĩnh vực.

SEAL 911 được thiết kế để "giúp người dùng, nhà phát triển và nhà nghiên cứu bảo mật kết nối trực tiếp với các chuyên gia bảo mật đáng tin cậy trong các tình huống khẩn cấp". Người dùng có thể nhận được dịch vụ này thông qua SEAL 911 Telegram Bot (https://t.me/seal_911_bot) và khi một dự án bị tấn công, Phòng chiến tranh có thể nhanh chóng được hình thành để giải quyết các thách thức bảo mật.

Phân tích nguyên nhân tấn công

Khi một giao thức bị tấn công, điều quan trọng là xác định nguồn gốc của vấn đề, chẳng hạn như các lỗ hổng trong hợp đồng thông minh và cách khai thác lỗ hổng đó. Phân tích các giao dịch tấn công yêu cầu sử dụng một số công cụ Phalcon Explorer , OpenChain và Tenderly đều là những lựa chọn tốt.

Theo dõi dòng tiền

Theo dõi dòng tiền đề cập đến việc theo dõi số tiền ban đầu của kẻ tấn công và tấn công lợi nhuận trên chuỗi để xác định các địa chỉ và thực thể có liên quan. Nếu những tài sản này được chuyển đến các thực thể tập trung (ví dụ: các sàn giao dịch tập trung và các thực thể cấp tổ chức khác), bạn có thể liên hệ với các cơ quan thực thi pháp luật để giúp đóng băng tiền.

Chainalysis, TRM Labs, ARKHAM, ELLIPTIC và MetaSleuth là những công ty/sản phẩm tiêu biểu trong lĩnh vực này. Ví dụ: MetaSleuth có thể tự động theo dõi dòng vốn xuyên chuỗi và cung cấp thẻ địa chỉ phong phú. ARKHAM đã thành lập một cộng đồng nơi các bên giao thức có thể công bố tiền thưởng điều tra để khuyến khích các thành viên cộng đồng giúp theo dõi dòng tài chính của kẻ tấn công.

Tài nguyên Giáo dục An toàn

Kiến thức là tuyến phòng thủ tốt nhất. Ngoài các nhà cung cấp và sản phẩm bảo mật đã đề cập trước đây, còn có một loại vai trò khác rất quan trọng đối với bảo mật DeFi: nền tảng giáo dục. Các tài nguyên hoặc thông tin do các nền tảng này cung cấp có thể giúp những người thực hành và người dùng DeFi hiểu sâu sắc kiến thức bảo mật, nâng cao nhận thức về bảo mật và trau dồi kỹ năng bảo mật, đóng vai trò quan trọng trong việc thúc đẩy sự phát triển của bảo mật DeFi. Chúng tôi bày tỏ lòng tôn kính đối với những nền tảng này và chia sẻ bên dưới một số nền tảng đáng chú ý.

• SΞCURΞUM: Cộng đồng Discord tập trung vào bảo mật Ethereum và thường xuyên tổ chức cuộc thi bảo mật hợp đồng thông minh "Secureum RACE"

  🔗 https://x.com/TheSecureum

• Bảng thông tin sự cố bảo mật: Nền tảng này tổng hợp và cập nhật các sự cố tấn công theo thời gian thực với tổn thất vượt quá 100.000 USD và cung cấp thông tin chi tiết như số tiền tổn thất, chuỗi bị ảnh hưởng, loại lỗ hổng, phân tích nguyên nhân tấn công và PoC.

  🔗 https://app.blocksec.com/explorer/security-incidents

• Rekt: Trang web tối được gọi là tin tức DeFi cung cấp phân tích chuyên sâu về các hoạt động khai thác, hack và lừa đảo DeFi.

  🔗 https://rekt.news/

• RugDoc: Cộng đồng giáo dục và bảo mật DeFi. Nền tảng này cung cấp thông tin đánh giá rủi ro dự án và cũng có nền tảng RugDocWiKi giới thiệu hệ sinh thái và công nghệ DeFi.

  🔗 https://rugdoc.io/

• DeFiHackLabs: Cộng đồng bảo mật Web3 được thành lập nhằm hỗ trợ các tài năng bảo mật Web2 tham gia vào lĩnh vực Web3. Cộng đồng này có hơn 2.000 thành viên và gần 200 hacker mũ trắng trên khắp thế giới. Kho DeFiHackLabs cung cấp rất nhiều tài nguyên học tập.

  🔗 https://x.com/DeFiHackLabs

• Solodit: Nền tảng này thu thập các báo cáo kiểm toán trước đây từ các công ty kiểm toán Web3.

  🔗 https://solodit.xyz/

• Ethernaut: Trò chơi dựa trên Web3/Solidity Người chơi cần xác định các lỗ hổng trong hợp đồng Ethereum, tương tự như CTF.

  🔗 https://ethernaut.openzeppelin.com/

Phần kết luận

Các vấn đề bảo mật gây ra tổn thất hàng tỷ đô la mỗi năm và là mối đe dọa nghiêm trọng lâu dài đối với hệ sinh thái DeFi. Hiện nay, hầu hết các biện pháp bảo mật đều tập trung vào vấn đề bảo mật trước khi dự án lên mạng. Tuy nhiên, không có “viên đạn bạc” nào trong vấn đề bảo mật. Ở các giai đoạn phát triển giao thức khác nhau, cần có các biện pháp tương ứng để đảm bảo tính bảo mật của nó và trong toàn bộ vòng đời của giao thức.

Chúng tôi hy vọng rằng ngành sẽ nhận ra tầm quan trọng của bảo mật sau khi dự án trực tuyến, thực hiện các biện pháp giám sát rủi ro giao thức và tự động chặn các cuộc tấn công.

Chúng tôi cũng hy vọng rằng hệ sinh thái DeFi có thể hình thành sự đồng thuận ưu tiên bảo mật để bảo vệ tốt hơn tính bảo mật tài sản của người dùng.