Huy hiệu "đã kiểm toán" là tấm bùa hộ mệnh giả: 1,46 tỷ USD của Bybit và điểm mù của ngành bảo mật

Tối 21 tháng 2 năm 2025, Bybit — một trong những sàn giao dịch lớn nhất thế giới — mất 1,46 tỷ USD từ một ví lạnh đa chữ ký được gắn huy hiệu "đã kiểm toán hoàn toàn". Trang chủ dự án vẫn còn in logo các công ty kiểm toán danh tiếng. Hợp đồng thông minh đã qua nhiều vòng rà soát bởi những cái tên lớn nhất ngành. Vậy mà kẻ tấn công vẫn rút sạch tài sản ngay trước mắt những người có quyền ký duyệt. Vụ việc đặt ra một câu hỏi khó chịu mà ít ai dám đối diện: tại sao một hệ thống được kiểm toán kỹ lưỡng đến vậy vẫn có thể sụp đổ một cách dễ dàng đến thế? Câu trả lời không nằm ở một lỗ hổng cụ thể trong mã nguồn. Nó nằm ở ranh giới của chính khái niệm "kiểm toán hợp đồng thông minh" mà cả ngành đang hiểu sai. CryptoSlate, trong một phân tích vừa công bố, đã gọi đúng tên vấn đề: các huy hiệu kiểm toán đang trao cho nhà đầu tư một cảm giác an toàn sai lầm, và Bybit chỉ là đỉnh của tảng băng. Khi tôi bắt đầu kiểm toán hợp đồng thông minh cho các dự án ICO vào năm 2017, quy trình kiểm toán rất nhỏ và rất khép kín. Nhóm tôi đọc từng dòng mã tại một commit duy nhất, ghi chú các lỗ hổng có thể khai thác, mô phỏng kịch bản tấn công và viết báo cáo. Sau khi báo cáo hoàn tất, dự án vá lỗi và mọi người hài lòng. Nhưng điều mà hầu hết nhà đầu tư không nhận ra — và đến nay vẫn không nhận ra — là những gì kiểm toán thực sự bao phủ. Kiểm toán mã nguồn bao phủ một khoảnh khắc của mã nguồn, không bao phủ một hệ thống đang vận hành. Một báo cáo kiểm toán xác nhận rằng mã nguồn tại một commit cụ thể trong kho lưu trữ không có lỗ hổng đã biết. Nó không xác nhận rằng giao diện web của tổ chức an toàn. Nó không xác nhận rằng máy tính của nhân viên sạch phần mềm độc hại. Nó không xác nhận rằng ví đa chữ ký an toàn trước nguy cơ thao túng giao diện hiển thị. Nó cũng không xác nhận rằng các lần cập nhật mã sau đó vẫn giữ nguyên chất lượng bảo mật ban đầu. Nhưng khi huy hiệu "audited by" được in to trên website dự án, tất cả những giới hạn đó biến mất. Nhà đầu tư nhìn thấy một con dấu và tin rằng họ đang mua sự an toàn tuyệt đối, trong khi thực tế họ chỉ đang mua một bức ảnh chụp mã nguồn tại một thời điểm đã qua. Hãy nhìn vào những con số được CryptoSlate tổng hợp lại từ các sự cố bảo mật lớn. Rò rỉ khóa riêng và lừa đảo chiếm tới 43,9% tổng giá trị tài sản bị đánh cắp trong các vụ việc được khảo sát — gần gấp đôi so với toàn bộ các lỗ hổng trong hợp đồng thông minh cộng lại. Khoảng một phần sáu các phát hiện trong kiểm toán được xếp loại nghiêm trọng hoặc mức cao. Ba hạng mục phát hiện chiếm tỷ trọng lớn nhất chỉ đạt 37,6% tổng số vấn đề được tìm thấy. Những con số này không nói rằng kiểm toán là vô dụng. Chúng nói rằng kiểm toán đang được trao một vai trò mà nó chưa bao giờ được thiết kế để đảm nhận. Vậy nút thắt kỹ thuật thực sự nằm ở đâu? Trong vụ Bybit, những người ký duyệt nhìn thấy trên màn hình xác nhận một địa chỉ ví đúng như kỳ vọng, nhưng giao dịch cơ bản mà họ ký thực chất trao quyền kiểm soát ví cho kẻ tấn công. Đây là sự tách biệt hoàn toàn giữa "ý định của người dùng" và "hành vi thực tế của giao dịch". Làm thế nào mà một điều như vậy có thể xảy ra với một hệ thống đã được kiểm toán? Câu trả lời nằm ở lớp trung gian: giao diện ký, nút mạng, trình duyệt, thiết bị phần cứng và quy trình xác thực nội bộ — tất cả những thành phần nằm ngoài phạm vi mà hợp đồng thông minh kiểm soát. Một hợp đồng an toàn không đồng nghĩa với con đường dẫn đến hợp đồng đó an toàn. Safe — nền tảng ví đa chữ ký liên quan trực tiếp đến sự cố — đã quy kết nguyên nhân cho "máy tính của nhà phát triển bị xâm nhập" chứ không phải từ lỗ hổng trong hợp đồng thông minh. Đây là một sự thừa nhận quan trọng. Nó chuyển trọng tâm từ câu chuyện "code có lỗi" sang câu chuyện "môi trường vận hành bị tấn công". Các nhà điều tra từ FBI cũng xác nhận hướng tấn công nhắm vào quy trình ký và phê duyệt của tổ chức, chứ không phải logic tài chính của hợp đồng. Toàn bộ hệ thống phòng thủ của Bybit có thể vững chắc trên lý thuyết, nhưng kẻ tấn công chỉ cần tìm ra một kẽ hở ngoài phạm vi kiểm toán: một thiết bị bị nhiễm mã độc, một phiên ký không hiển thị đầy đủ dữ liệu, hoặc một nhân viên có quyền cao nhưng lại thiếu cảnh giác. Đáng chú ý hơn, dữ liệu được trích dẫn từ Oak Security vẫn đang ở dạng bản in trước — chưa trải qua phản biện đầy đủ của cộng đồng học thuật — và bộ dữ liệu "phát hiện kiểm toán" cùng bộ dữ liệu "sự kiện thiệt hại" thuộc hai nhóm khác nhau, không thể suy trực tiếp thành tỷ lệ chuyển đổi nguyên nhân. Nhưng ngay cả với sự thận trọng về mặt phương pháp, một điều đã trở nên quá rõ ràng: các cuộc tấn công gây thiệt hại lớn nhất trong hai năm gần đây đều nằm ngoài vùng bảo vệ mà kiểm toán mã nguồn có thể cung cấp. Kẻ tấn công không cần tìm cách phá vỡ logic tài chính của hợp đồng. Chúng chỉ cần đánh cắp quyền truy cập vào khóa ký, thao túng cách hiển thị giao dịch trên màn hình, hoặc xâm nhập vào máy tính của nhà phát triển. Điều đáng sợ nhất không phải là việc tấn công xảy ra. Mạng lưới nào cũng có thể bị tấn công. Điều đáng sợ là sự tự tin sai chỗ mà các huy hiệu kiểm toán đang nuôi dưỡng. Khi một dự án huy động hàng trăm triệu đô la và khoe ba hay bốn logo kiểm toán trên trang chủ, các nhà đầu tư tổ chức cảm thấy an tâm. Họ giảm cảnh giác. Họ chấp nhận quy trình ký mù, chấp nhận các giao diện xác nhận không hiển thị đầy đủ cấu trúc giao dịch, chấp nhận quyền lực tập trung quá lớn trong tay một nhóm nhỏ kỹ thuật viên. Thị trường tiền mã hóa đã xây dựng toàn bộ hệ thống niềm tin trên một con dấu có phạm vi cực kỳ hẹp. Các công ty kiểm toán nghiêm túc thực ra hiểu rất rõ giới hạn của chính họ. OpenZeppelin, chẳng hạn, luôn xác định rõ phạm vi trong báo cáo: họ gắn kết quả với commit hash cụ thể của kho mã, liệt kê chính xác các hợp đồng được kiểm tra, ghi rõ thời gian rà soát kéo dài bao nhiêu ngày. Nhưng khi báo cáo được chuyển lên website của dự án, những ghi chú giới hạn đó âm thầm biến mất trong giao diện đẹp đẽ. Chỉ còn lại tấm huy hiệu "audited by" — được đóng khung, phóng to và đặt ngay cạnh nút kêu gọi đầu tư. Sự biến đổi này không phải lỗi của công ty kiểm toán. Đó là lỗi của một thị trường đang rất cần một thứ gì đó để tin tưởng, và đã chọn nhầm đối tượng. Câu hỏi tiếp theo là: tại sao vấn đề này lại đặc biệt nguy hiểm trong thị trường tăng giá hiện tại? Bởi vì khi thị trường sôi động, dòng tiền chảy vào nhanh hơn khả năng kiểm soát rủi ro của các đội ngũ phát triển. Những dự án mới huy động vốn trong vài tuần, thuê kiểm toán gấp rút, in huy hiệu lên trang chủ và bắt đầu thu hút thanh khoản. Người ta có xu hướng giao phó sự an toàn cho các con dấu bên ngoài thay vì tự thẩm định kỹ thuật. Còn kẻ tấn công thì rất kiên nhẫn. Chúng không tấn công nơi đông người bảo vệ. Chúng tấn công vào các kẽ hở vận hành — máy chủ của nhân viên, quyền truy cập quản trị, tiến trình ký thiếu xác minh — những vùng tối mà không một báo cáo kiểm toán nào từng chạm tới. Thực tế thú vị là các giải pháp khắc phục hoàn toàn nằm trong tầm tay của chúng ta. Xác thực ý định giao dịch dưới dạng dữ liệu có thể đọc được — thay vì hàng chuỗi byte phức tạp — đang được nhiều đội ngũ phát triển áp dụng, cho phép người ký hiểu rõ ràng điều họ đang phê chuẩn mà không cần tin mù vào giao diện hiển thị. Các giao thức mới nổi cũng đang thử nghiệm khái niệm "kiểm toán vận hành": rà soát toàn bộ quy trình triển khai, kế hoạch phản ứng sự cố, chính sách kiểm soát truy cập và chuỗi cung ứng phần mềm, thay vì chỉ đọc mã nguồn trong vài ngày. Trải qua hơn hai thập kỷ quan sát ngành và nhiều năm trực tiếp kiểm toán các giao thức, tôi tin rằng giá trị thực sự của kiểm toán nằm ở sự khiêm nhường. Một báo cáo kiểm toán tốt phải được đọc như một tấm bản đồ có đánh dấu rõ những vùng trắng — những nơi chưa được khảo sát, những nơi mà đội ngũ vận hành phải tự bảo vệ mình. Huy hiệu "audited" chỉ có ý nghĩa khi nó đi kèm với một lời thú nhận rõ ràng về những gì nó không hứa hẹn. Câu hỏi cuối cùng tôi muốn đặt ra không chỉ cho các nhóm phát triển mà còn cho những người đang giữ tài sản trong các giao thức phi tập trung: bạn có biết tài sản của mình thực sự được bảo vệ bởi điều gì — một dòng mã từng được kiểm toán, hay một quy trình vận hành đang kiểm soát con đường đến dòng mã đó? Nếu bạn vẫn đang đặt cược niềm tin vào tấm huy hiệu "audited by", hãy nhớ rằng tấm huy hiệu đó không hề hứa hẹn màn hình của bạn nói thật, máy chủ của bạn không bị xâm nhập, hay đội ngũ vận hành không bao giờ mắc sai lầm. Và những điều không được hứa hẹn đó thường là nơi kẻ tấn công gõ cửa trước tiên.