Nhìn nhận lại Layer2 và Rollup thông qua chỉ số xếp hạng rủi ro của L2BEAT
Tuyển chọn TechFlowTuyển chọn TechFlow
Nhìn nhận lại Layer2 và Rollup thông qua chỉ số xếp hạng rủi ro của L2BEAT
Hầu hết các Rollup sẽ không từ bỏ multisig của ủy ban an toàn, và hợp đồng L2 sẽ có khả năng "nâng cấp ngay lập tức" trong một thời gian dài.
Chuyên sâu báo cáo Web3Tác giả: Faust
Khi nhắc đến cái tên L2BEAT, phần lớn mọi người có lẽ đã từng nghe qua nhưng không hiểu rõ hoạt động của tổ chức này. Trong một khoảng thời gian dài trước năm 2023, ấn tượng của cộng đồng về L2BEAT thường chỉ là “nền tảng trực quan hóa dữ liệu Layer2 của Ethereum”. Ngoài việc hiển thị TVL và phân loại các giải pháp kỹ thuật trong lĩnh vực L2, ít ai biết thêm về các chức năng khác của L2beat. Tuy nhiên, kể từ khi ra mắtchỉ số xếp hạng rủi ro Layer2 vào tháng 6 năm nay, tổ chức nhỏ niche này ngày càng được nhiều người biết đến với vai trò như một"tổ chức xếp hạng L2 của Ethereum".
Khi nói đến cụm từ “tổ chức xếp hạng”, cuốn sách “Thế giới phẳng” từng đưa ra một phép so sánh vô cùng sinh động: “Chúng ta đang sống trong thế giới của hai siêu cường, một là Hoa Kỳ, một là các tổ chức xếp hạng. Hoa Kỳ có thể dùng bom phá hủy một quốc gia, còn tổ chức xếp hạng có thể hủy diệt một quốc gia bằng cách hạ bậc tín dụng trái phiếu; đôi khi, khó mà nói rõ sức mạnh của bên nào lớn hơn.”
Từ cuộc khủng hoảng tài chính châu Á năm 1997 đến khủng hoảng nợ dưới chuẩn năm 2007, các tổ chức xếp hạng trên Phố Wall đều đóng vai trò then chốt, thậm chí là tác nhân thúc đẩy các sự kiện xấu này. Trong thế giới Web3, nơi bề ngoài đề cao “phi tin cậy” nhưng thực tế lại dựa vào “thỏa thuận xã hội”, “đánh giá rủi ro” luôn là một yếu tố không thể bỏ qua. Dù là kiểm toán mã hợp đồng hay phân tích bất thường trên chuỗi, giá trị của những công việc này không hề thua kém gì bằng chứng kiến thức không (zero-knowledge proof) hay thuật toán đồng thuận, thậm chí còn vượt trội hơn.
Đối với lĩnh vực mới mẻ blockchain mô-đun, một bộ tiêu chí đánh giá rủi ro khách quan, toàn diện và có khả năng phân biệt giữa các Layer2 là vô cùng quan trọng. Đặc biệt trong bối cảnh hệ sinh thái L2 hiện đang nắm giữ gần trăm tỷ USD tài sản, việc phát hiện sớm rủi ro tiềm tàng và cảnh báo cộng đồng đã trở thành một vấn đề thực tiễn không thể né tránh.
Trong một bài blog diễn đàn năm 2022, Vitalik từng nói rằng hiện tại gần như tất cả các Rollup đều chưa trưởng thành, phần lớn sử dụng biện pháp hỗ trợ gọi là Training Wheels (bánh xe phụ), để đảm bảo vận hành bình thường của Rollup. “Bánh xe phụ” phản ánh mức độ phụ thuộc của dự án Rollup vào “sự can thiệp thủ công” và “thỏa thuận xã hội”. Các L2 càng ít phụ thuộc vào bánh xe phụ thì sẽ càng “phi tin cậy” hơn và có rủi ro thấp hơn; ngược lại, rủi ro sẽ cao hơn.
Ví dụ, các optimistic Rollup như Optimism phần lớn chưa triển khai hệ thống bằng chứng gian lận (fraud proof), điều này làm tăng đáng kể mức độ rủi ro; nhiều L2 khác như Immutable X đặt tính sẵn sàng dữ liệu (DA) xuống ngoài chuỗi ETH, hoặc như Starknet thiếu chức năng rút tiền cưỡng chế/giao dịch cưỡng chế có thể gọi bất cứ lúc nào. Đối với Layer2, những điều kiện trên là cần thiết để đảm bảo “mức độ an toàn tương đương ETH”. Tất nhiên, ngoài những điểm này, hiện tại hầu như mọi dự án L2 đều tự để lại “lối thoát sau” (backdoor), quản lý hợp đồng mã nguồn trên Ethereum của L2 thông qua một nhóm đa ký (multisig), có thể thay đổi hash trạng thái bất cứ lúc nào – đây cũng là một mối nguy hiểm lớn.
Để phân biệt và định nghĩa rõ ràng hơn về Rollup, Vitalik và các cộng sự dựa trên mức độ phụ thuộc vào bánh xe phụ/can thiệp thủ công để phân loại Rollup thành 3 cấp độ: Stage 0, Stage 1, Stage 2. Sau đó, L2beat đã sửa đổi sơ đồ phân loại này thông qua việc lấy ý kiến cộng đồng, có thể khái quát như sau:
Stage0 —— hoàn toàn phụ thuộc vào bánh xe phụ, tiêu chuẩn tối thiểu cho một Rollup:
· Dự án tự nhận mình là Rollup.
· Giao dịch xử lý bởi Rollup phải “on-chain” (dữ liệu liên quan đến quá trình chuyển trạng thái L2 phải được tiết lộ lên L1, đồng thời tiết lộ hash trạng thái Stateroot của L2).
· Cần thiết lập một nhóm nút toàn phần Rollup (full node) có quyền truy cập mở và mã nguồn mở, giúp người dùng biết được trạng thái của tất cả tài khoản trên L2 (bao gồm số dư, số lần giao dịch...).
Một dự án L2 chỉ được L2beat đánh dấu là Stage 0 khi thỏa mãn tất cả các điều kiện trên, tức là đạt tiêu chuẩn tối thiểu của một Rollup; nếu không sẽ không được xem là Rollup (ví dụ như Arbitrum Nova).
Stage1 —— Rollup chỉ phụ thuộc một phần vào bánh xe phụ, có những đặc điểm sau:
· Phải triển khai hệ thống bằng chứng gian lận (fraud proof) hoặc bằng chứng hiệu lực (validity proof) để đảm bảo tính hiệu lực của việc chuyển trạng thái L2;
· Nếu là optimistic Rollup, ít nhất phải có 5 nút L2 không do chính thức kiểm soát có thể đăng bằng chứng gian lận (danh sách trắng người thách thức phải chứa ít nhất 5 thực thể ngoài đội ngũ chính thức của Rollup).
Ví dụ: Tính đến tháng 11 năm 2022, danh sách trắng người thách thức của Arbitrum One gồm 9 thực thể: Consensys, Quỹ Ethereum, L2BEAT, Mycelium, Offchain Labs, P2P, Quicknode, DLRC, Unit410.
· Bất kỳ lúc nào, người dùng cũng có thể bỏ qua sequencer (Operator), rút tài sản từ L2 về L1 một cách cưỡng chế để đảm bảo tài sản không bị đóng băng; nếu sequencer phát động tấn công kiểm duyệt, từ chối xử lý một số giao dịch, người dùng có thể buộc gửi giao dịch vào chuỗi giao dịch Rollup trên L1. Ngoài việc đăng Stateroot sai, sequencer không còn cách nào khác để hành vi độc hại.
·Rollup có thể thiết lập Ủy ban An toàn (Safety Council), do một nhóm đa ký quản lý, có quyền nâng cấp cưỡng chế hợp đồng Rollup trong tình huống khẩn cấp, hoặc can thiệp vào hash trạng thái L2 được ghi trong hợp đồng. Tuy nhiên, khóa riêng của đa ký ủy ban phải được phân tán đủ rộng và ngưỡng kích hoạt phải đủ cao. Vitalik cho rằng con số này ít nhất nên là 6/8, tức là đa ký do hơn 8 người quản lý, ngưỡng hiệu lực là 75%.
· Việc nâng cấp hợp đồng Rollup không được ủy quyền bởi đa ký ủy ban phải chịu giới hạn trễ thời gian khóa thời gian (time lock) ít nhất 7 ngày. Như vậy, nếu Rollup gặp phải đề xuất cập nhật độc hại như tấn công quản trị (xem sự kiện tấn công quản trị Tornado Cash), người dùng sẽ có ít nhất 7 ngày để rút tài sản an toàn.
Hiện tại, trong các Rollup phổ biến chỉ có Arbitrum One, dYdX, zkSync Lite đạt yêu cầu Stage1, còn lại đều đang ở giai đoạn Stage0.
Stage2 —— hoàn toàn loại bỏ bánh xe phụ, trở thành một Rollup thuần túy:
· Trong mạng optimistic Rollup, các nút L2 có thể đăng bằng chứng gian lận phải là Permisionless, hủy bỏ thiết lập danh sách trắng (về điểm này, Arbitrum One gần đây đã ra mắt giao thức BOLD);
· Mọi hành vi nâng cấp hợp đồng Rollup phải chịu giới hạn trễ khóa thời gian ít nhất 30 ngày, hoặc hoàn toàn không thể nâng cấp hợp đồng. Điều này có nghĩa là khi Rollup xảy ra nâng cấp độc hại, người dùng L2 sẽ có ít nhất 30 ngày để rút tài sản an toàn.
Để hiểu rõ hơn các chỉ số xếp hạng rủi ro do L2BEAT liệt kê, chúng ta có thể chọn ba ví dụ Rollup ở ba cấp độ an toàn khác nhau để phân tích.
Stage0 - Base, Stage1 - Arbitrum One, Stage2 - Fuel:
Base là một trong những dự án hàng đầu trong lĩnh vực optimistic Rollup, sử dụng hợp đồng trên L1 để ghi lại hash trạng thái L2 (Stateroot), xử lý việc gửi/nhận vốn vào L2, và tận dụng Ethereum để đạt được tính sẵn sàng dữ liệu (DA), có kết nối cầu nối với L1.
Sequencer của Base cần tiết lộ dữ liệu giao dịch L2 lên L1, cụ thể là mỗi vài phút, sequencer sẽ gửi một giao dịch đến địa chỉ xác định trên Ethereum, ghi một loạt dữ liệu giao dịch đã nén vào trường dữ liệu tùy chỉnh Calldata của giao dịch. Vì các nút toàn phần L2 sẽ tự động đồng bộ khối L1, chúng có thể theo dõi giao dịch do sequencer gửi đi, giải mã dữ liệu giao dịch L2 từ Calldata, từ đó biết được trạng thái mới nhất của sequencer L2, tính toán ra hash trạng thái đúng (Stateroot), và so sánh với Stateroot mà sequencer nộp lên L1.
Hiện tại Base chưa triển khai hệ thống bằng chứng gian lận, không thể đảm bảo rằng Stateroot L2 ghi trong hợp đồng L1 là chính xác, tuy nhiên người dùng có khả năng chạy nút toàn phần L2 có thể phát hiện kịp thời lỗi; ngoài ra, Base không có cơ chế rút tiền cưỡng chế hay chống tấn công kiểm duyệt, nếu sequencer ngừng hoạt động lâu dài hoặc cố ý từ chối yêu cầu người dùng, người dùng L2 sẽ không thể rút tài sản an toàn về L1, do đó tiềm ẩn rủi ro an ninh lớn.
Rõ ràng, về mặt thiết kế cơ chế, Rollup kiểu này là không an toàn, nhưng người dùng và thành viên cộng đồng có thể trong những thời điểm cần thiết cảnh báo qua mạng xã hội, khiến Quỹ Ethereum hay các cơ quan quản lý như SEC nhận thức được nguy cơ xảy ra – đây chính là thứ gọi là “thỏa thuận xã hội”, tức là thông qua minh bạch dữ liệu cao độ và giám sát tự phát của cộng đồng, dùng “lan truyền dư luận”, “can thiệp thủ công” và “truy cứu trách nhiệm pháp lý” sau đó để kiềm chế hành vi độc hại của đội ngũ phát triển L2, thuộc lớp bảo vệ an ninh cấp thấp nhất, vì nó không thể ngăn chặn hành vi độc hại trước khi xảy ra, mà chỉ có thể truy cứu sau khi hành vi đã xảy ra.
Tuy nhiên, thực tế thì “thỏa thuận xã hội” cũng là điều kiện nền tảng đảm bảo an toàn blockchain (nếu ai đó cố gắng fork độc hại Ethereum, cộng đồng Ethereum cũng sẽ dùng thỏa thuận xã hội để xác định chuỗi fork nào nên theo dõi), và kẻ hành xử độc hại do e ngại hậu quả bị phơi bày, thường không dám liều lĩnh (tất nhiên trừ các sàn như FTX, ZT, Mt. Gox).
Khi chuyển sang xem xét Arbitrum One, chúng ta có thể thấy ngay sự khác biệt với Base. Ví dụ, nó đã triển khai hệ thống bằng chứng gian lận hoạt động, thiết lập danh sách trắng người thách thức, trong đó có 9 nút do các thực thể khác nhau vận hành bao gồm Quỹ Ethereum và L2beat; chỉ cần sequencer đăng Stateroot trạng thái sai lên L1, các nút thách thức sẽ đăng bằng chứng gian lận, từ đó đảm bảo Stateroot L2 ghi trong hợp đồng Rollup là chính xác;
Đồng thời, Arbitrum One có cơ chế giao dịch cưỡng chế chống lại tấn công kiểm duyệt của sequencer, cho phép người dùng gọi hàm forceInclusion của hợp đồng Sequencer Inbox trên L1 để gửi trực tiếp lệnh giao dịch lên L1; nếu trong vòng 24 giờ, sequencer không xử lý giao dịch/rút tiền cần “bao gồm cưỡng chế” này, lệnh giao dịch/rút tiền sẽ được đưa thẳng vào chuỗi giao dịch Rollup, tạo ra một “lối thoát an toàn” để người dùng có thể rút tiền từ L2 một cách cưỡng chế.
Ở đây cần nhấn mạnh rằng, trong các dự án Rollup cấp độ Stage1, người dùng chỉ cần biết được trạng thái tất cả tài khoản L2, xây dựng Merkle Proof tương ứng với số dư tài khoản của mình, có thể rút tiền cưỡng chế thông qua hàm chỉ định trong hợp đồng Rollup (tính năng này thường gọi là Escape Hatch). Cách để biết trạng thái tài khoản L2 phụ thuộc vào việc mạng Rollup có cung cấp nút toàn phần mở dữ liệu hay không (gần như tất cả L2 đều có loại nút này).
Ngoài ra, việc nâng cấp hợp đồng Arbitrum One bị giới hạn bởi nhiều yếu tố, ví dụ: đề xuất nâng cấp hợp đồng bình thường phải trải qua bỏ phiếu quản trị trên chuỗi, sau khi đạt ngưỡng biểu quyết, lại chịu giới hạn khóa thời gian (trễ 12 ngày), rồi mới được thực thi tự động. Nếu đề xuất nâng cấp hợp đồng chứa logic mã độc hại, có thể bị Ủy ban An toàn bác bỏ (thực hiện qua đa ký).
Nhưng bản thân Ủy ban An toàn Arbitrum One có thể bỏ qua giới hạn khóa thời gian, ví dụ chỉ cần 9/12 đa ký thông qua, Ủy ban có thể lập tức nâng cấp mã hợp đồng, hoặc ép buộc thay đổi Stateroot L2 ghi trong hợp đồng Rollup.
Về việc Ủy ban An toàn có quyền lực lớn như vậy dựa trên cơ sở nào, Vitalik từng giải thích như sau:
“Một số Rollup có thể sử dụng nhiều hàm chuyển trạng thái độc lập, ví dụ có hai người đăng bằng chứng gian lận với quan điểm khác nhau, hoặc nhiều nút Prover gửi bằng chứng hiệu lực khác nhau, hoặc sequencer cố gắng fork sổ cái L2 trên L1, hoặc bằng chứng hiệu lực không được gửi lên chuỗi trong vòng 7 ngày, tất cả đều có thể dẫn đến sụp đổ hoàn toàn hệ thống L2. Ủy ban An toàn có thể ra quyết định trong tình huống nguy hiểm này, dùng can thiệp thủ công để hướng hệ thống áp dụng kết quả đúng đắn.”
Tất nhiên, Vitalik chỉ liệt kê vài tình huống “nguy hiểm” đơn giản, cần cân nhắc đến khả năng hợp đồng Rollup bị tấn công hacker, sequencer随时可能 bị hack (hoặc nội gián), do đó các biện pháp ứng phó khẩn cấp là rõ ràng cần thiết.
Theo quan điểm của Vitalik, nếu là một Rollup hoàn thiện, hợp đồng có thể nâng cấp nhưng phải có thời gian trễ khóa thời gian lớn hơn 30 ngày, để người dùng và cộng đồng có đủ thời gian phản ứng.
Rõ ràng, do Ủy ban An toàn Arbitrum có thể nâng cấp hợp đồng ngay lập tức sau khi đạt đa ký, nếu phiên bản mới chứa logic nghiệp vụ độc hại, về lý thuyết có thể cuỗm sạch tài sản người dùng trên L2. Do đó Arbitrum One không đáp ứng định nghĩa của Vitalik về một Rollup hoàn thiện, chỉ đơn thuần là có mức độ rủi ro thấp hơn.
Khi tìm kiếm “Rollup hoàn thiện”, trên L2BEAT chỉ có hai dự án đáp ứng điều kiện: Fuel V1 và DeGate. Trong đó, Fuel V1 là optimistic Rollup đầu tiên triển khai hệ thống bằng chứng gian lận, việc gửi bằng chứng gian lận là Permissionless, bất kỳ ai cũng có thể chạy nút và đăng bằng chứng gian lận khi cần. Đồng thời, hợp đồng Fuel V1 đã bị khóa cứng, hoàn toàn không thể nâng cấp, ủy ban cũng không thể can thiệp vào Stateroot L2 ghi trong hợp đồng Rollup, do đó không tồn tại rủi ro Ủy ban An toàn.
Fuel V1 đạt mức rủi ro thấp nhất, nhưng mỗi lần cập nhật đều phải triển khai lại hợp đồng, và người dùng phải tự tay di chuyển tài sản sang phiên bản mới, thực chất là làm lại một dự án mới, dẫn đến phân mảnh thanh khoản, giảm linh hoạt nghiêm trọng. Do nhiều nguyên nhân như mô hình lập trình dùng UTXO không tương thích EVM, người sáng lập sau đó chuyển sang đội ngũ Celestia… phát triển Fuel dần đình trệ, hệ sinh thái cũng không khả quan.
Tóm lại, việc theo đuổi an toàn tuyệt đối đi kèm với giá phải trả là sự bất tiện trong cập nhật và phát triển, trong bối cảnh công nghệ bằng chứng gian lận và bằng chứng hiệu lực vẫn chưa hoàn thiện, duy trì khả năng nâng cấp hợp đồng ở mức độ nhất định có lẽ là một tính năng bắt buộc đối với Rollup.
Trong một khoảng thời gian dài sắp tới, chúng ta có thể dự đoán tình hình như sau: phần lớn Rollup sẽ không từ bỏ đa ký Ủy ban An toàn, hợp đồng L2 trong thời gian dài sẽ vẫn có “khả năng nâng cấp tức thì” (một dự án ZK Rollup từ đầu đến cuối không từ bỏ đa ký Ủy ban An toàn, sau đó quay sang làm dự án mới). Xét đến độ khó phát triển hệ thống bằng chứng gian lận, nhiều optimistic Rollup không thuộc nhóm đầu có lẽ không thể triển khai trong ngắn hạn (nhiều khả năng cuối năm 2023 vẫn chưa làm được), trong khi Arbitrum One sẽ duy trì vị trí dẫn đầu trong lĩnh vực Rollup, dù chưa đạt mức an toàn cao nhất nhưng sở hữu hệ thống bằng chứng gian lận tương đối hoàn thiện, đa ký Ủy ban An toàn được phân tán hợp lý (9/12, phân bổ cho 12 thành viên cộng đồng bao gồm cả thành viên dự án ARB), đồng thời có hệ sinh thái DApp lớn nhất —— với hơn 440 ứng dụng. Còn Base, an toàn kém hơn, chủ yếu dựa vào tiếp thị, có thể tiếp tục đà tăng trưởng trong vài tháng qua hay không vẫn cần thời gian kiểm chứng. Nếu Base vượt Arbitrum One về quy mô TVL, có thể sẽ dẫn đến sự sụp đổ niềm tin vào chính bản thân khái niệm “phi tin cậy”.
Tất nhiên, quan trọng nhất là, chúng ta sẽ luôn cần những tổ chức đánh giá rủi ro như L2BEAT, trong thời đại bất ổn và hỗn loạn này, một bộ chỉ số đánh giá rủi ro rõ ràng, toàn diện luôn là yếu tố then chốt đảm bảo sự phát triển mạnh mẽ của hệ sinh thái Ethereum và toàn bộ Web3.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
@godrealmx
