Nói chi tiết về sự cố bị đánh cắp tiền tại Bybit dưới góc nhìn của một quản lý sản phẩm ví Web3
Tuyển chọn TechFlowTuyển chọn TechFlow
Nói chi tiết về sự cố bị đánh cắp tiền tại Bybit dưới góc nhìn của một quản lý sản phẩm ví Web3
Điều duy nhất có thể tin tưởng là công nghệ, chứ không phải "con người" hay "nền tảng".
Chuyên sâu báo cáo Web3Tác giả: Nhạc Tiểu Ngư
1. Trước tiên dùng lời giản dị giải thích việc Bybit bị đánh cắp như thế nào:
Bybit sử dụng ví đa ký Safe, thiết lập chữ ký là 3/3, nghĩa là cần ba người ký mới hoàn tất giao dịch, mỗi người ký sử dụng ví lạnh phần cứng.
Loại hợp đồng thông minh đa ký lâu đời như Safe đã được kiểm chứng nhiều năm, bản thân không có vấn đề gì, lại thêm việc người ký dùng ví lạnh phần cứng, khóa riêng biệt ly khỏi thiết bị, khóa riêng không kết nối mạng,
Ví đa ký + ví lạnh có thể nói là biện pháp an toàn nhất hiện nay.
Nhưng tại sao vẫn bị đánh cắp?
Hacker sử dụng tấn công kỹ thuật xã hội.
Không thể tấn công trực tiếp về mặt kỹ thuật, thì tấn công thẳng vào "con người".
Hacker trước tiên xâm nhập máy tính của ba người ký, sau đó khi họ thực hiện thao tác thường ngày (ví dụ ký chuyển tiền), âm thầm thay đổi nội dung ký.
Người ký tưởng mình đang ký giao dịch bình thường trên trang web, nhưng thực tế hacker đã thay nội dung thành "chữ ký độc hại", ví dụ nâng cấp hợp đồng Safe thành một hợp đồng ác ý mà chúng đã chuẩn bị từ trước.
Ba người ký vô tình ký tên, kết quả hacker dùng hợp đồng ác ý này rút sạch tiền.
2. Tấn công kỹ thuật xã hội rốt cuộc là gì?
Tấn công kỹ thuật xã hội là hình thức tấn công chi phí cao, thủ đoạn phức tạp nhưng cực kỳ hiệu quả.
Trong sự kiện tấn công lần này, bản thân sàn giao dịch đã áp dụng mọi biện pháp an toàn cao nhất: hợp đồng thông minh đa ký, thiết bị ví phần cứng, tổ chức doanh nghiệp chặt chẽ ngoài hệ thống, nhưng cuối cùng vẫn không ngăn chặn được kiểu tấn công kỹ thuật xã hội này.
Hacker xác định chính xác vài người ký trong hệ thống đa ký, xâm nhập máy tính người ký là điểm đột phá dễ hơn.
Làm cách nào để xâm nhập máy tính nhân viên?
Các phương pháp cụ thể bao gồm gửi email lừa đảo, cài phần mềm độc hại, hoặc lợi dụng thói quen bảo mật kém của người ký (như dùng mật khẩu yếu, không bật xác thực hai lớp).
Một khi máy tính bị hack, hacker có thể kiểm soát thiết bị nhân viên, sửa đổi bất kỳ thông tin nào.
Tấn công kỹ thuật xã hội có tính ẩn giấu rất mạnh, người ký có thể nghĩ mình đã hoàn tất công việc thường ngày, nhật ký hệ thống cũng ghi nhận thao tác hợp lệ như "nâng cấp hợp đồng", chứ không phải hành động rõ ràng như "chuyển tiền".
Đợi đến khi tiền bị rút đi, Bybit mới nhận ra, nhưng đã quá muộn.
Tất nhiên, tấn công kỹ thuật xã hội không phải không thể phòng ngừa, cần một bộ biện pháp nghiêm ngặt và bảo vệ dài hạn.
Biện pháp tốt nhất là kiểm soát chặt chẽ thiết bị liên quan và hành vi bất thường của nhân viên nội bộ doanh nghiệp, ví dụ dùng thiết bị chuyên dụng tách biệt, danh sách trắng thiết bị và giám sát, kiểm tra và cập nhật định kỳ v.v.
3. Sau sự kiện bị đánh cắp, tương lai Bybit sẽ ra sao?
Thứ nhất, xem Bybit có đủ năng lực chịu đựng đợt rút tiền ồ ạt của người dùng gần đây hay không; nếu Bybit không trụ nổi, sẽ thành FTX thứ hai, thậm chí kéo cả ngành chúng ta vào chu kỳ thị trường gấu mới;
Thứ hai, xem Bybit có khả năng bồi thường tiền bị đánh cắp hay không; nếu không có khả năng bồi thường, tuyên bố phá sản luôn, cũng có thể khiến ngành chúng ta rơi vào thị trường gấu.
Vậy tình hình tài chính hiện tại của Bybit thế nào?
Bybit là sàn giao dịch tiền mã hóa lớn thứ hai thế giới, khối lượng giao dịch trung bình hàng ngày đạt 36 tỷ USD, số người dùng vượt 60 triệu. Với quy mô lớn như vậy, khả năng sinh lời chắc chắn không tồi.
Giới trong ngành ước tính phổ biến, các sàn đầu ngành như Bybit chủ yếu kiếm lời từ phí giao dịch, lãi giao dịch ký quỹ, chia sẻ lợi nhuận sản phẩm tài chính v.v., lợi nhuận ròng hàng năm dao động khoảng 1,5 đến 5 tỷ USD.
Xét thêm quy mô tài sản của Bybit. Trước khi bị đánh cắp, tổng tài sản dự trữ của nó được cho là vượt 16 tỷ USD.
So sánh như vậy, khoản hụt 1,5 tỷ chiếm chưa đến 10% tổng tài sản, không phải vết thương chí mạng.
Thêm nữa, CEO Bybit Ben Zhou từng công khai nói rằng tài sản khách hàng được đảm bảo 1:1, nghĩa là tiền người dùng được bảo vệ, khoản hụt phát sinh sau vụ mất mát chủ yếu lấy từ lợi nhuận và dự trữ của công ty.
Tóm lại, có thể chia làm ba trường hợp:
Trường hợp tốt nhất: Kiềm chế được đợt rút tiền ồ ạt, Bybit dùng khoản vay và tài sản tự có để lấp đầy khoản thiếu hụt, hồi phục trong nửa năm. Niềm tin thị trường cải thiện, ngành tiếp tục xu hướng thị trường bò.
Trường hợp trung bình: Đợt rút tiền kéo dài một thời gian nhưng không mất kiểm soát, Bybit phải thắt lưng buộc bụng, giảm chia lợi nhuận vài năm, từ từ lấp đầy. Ngành bị ảnh hưởng nhẹ, ETH và altcoin điều chỉnh, nhưng chưa tới mức thị trường gấu.
Trường hợp xấu nhất: Đợt rút tiền mất kiểm soát, Bybit không trụ nổi mà phá sản, khoản hụt 1,5 tỷ gây ra khủng hoảng niềm tin, cả ngành theo đó suy sụp, thị trường gấu đến sớm.
4. Bài học cho người dùng thông thường chúng ta là gì?
Nhiều người nói: "Người mới không nên tự giữ khóa riêng, không an toàn, tốt hơn hết là để tiền ở sàn giao dịch an toàn hơn."
Những vụ mất cắp sàn giao dịch liên tiếp xảy ra chính là lời phản bác mạnh mẽ cho luận điểm trên.
Đừng mê tín vào năng lực kỹ thuật của sàn giao dịch, cũng đừng mê tín vào độ an toàn của sàn, thực tế rủi ro tiềm tàng của sàn rất lớn.
Tại sao nói rủi ro tiềm tàng của sàn lớn hơn?
Rủi ro lớn nhất của nền tảng tập trung này nằm ở chỗ tất cả tài sản người dùng được lưu trữ tập trung, trở thành mục tiêu tấn công tập trung.
Trên thế giới không có hệ thống nào tuyệt đối an toàn. Mọi hệ thống đều có thể bị phá vỡ, nhưng tấn công đều có chi phí, vấn đề là mục tiêu thu lợi của bạn lớn đến đâu.
Khi lợi ích tấn công đủ lớn, thì thủ đoạn và chi phí tấn công cũng sẽ được khuếch đại.
Sàn giao dịch là mục tiêu lớn rõ ràng, địa chỉ ví của sàn cơ bản công khai, dòng tiền cũng công khai, chỉ cần đầu tư thêm nguồn lực để tấn công, rồi sẽ có một ngày bị phá vỡ.
Vì vậy, điều duy nhất chúng ta có thể tin tưởng là công nghệ, chứ không phải "con người" hay "nền tảng".
Vì vậy, ở đây vẫn phải kêu gọi, người dùng thông thường chúng ta nên cố gắng dùng ví phi tập trung, tự nắm giữ khóa riêng, hoặc tiến xa hơn, dùng trực tiếp ví không cần khóa.
Thế giới Web3 là một rừng tối, chúng ta vừa là thợ săn vừa là con mồi, từng bước phải cẩn trọng, chỉ như vậy mới sống lâu hơn, đi xa hơn.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
