Ba blockchain ngừng hoạt động trong bốn ngày, ai có quyền nhấn nút tạm dừng?

Tác giả: Liam 'Akiba' Wright, cryptoslate

Biên dịch: Saoirse, Foresight News

Trong vòng bốn ngày, ba mạng blockchain liên tiếp ngừng sản xuất khối. Mỗi lần ngừng mạng đều sử dụng các quyền khẩn cấp hoàn toàn khác nhau, trong đó chỉ có Cronos đã viết lại một phần lịch sử chuỗi chính thức.

Cronos cho biết, sau khi giao thức Tectonic bị tấn công khai thác lỗ hổng, các nút xác thực đã tắt mạng thông qua cơ chế đồng thuận, khôi phục chuỗi về trạng thái trước khi cuộc tấn công xảy ra và khởi động lại sản xuất khối từ độ cao khối 90.896.189. Thao tác này không chỉ dừng sản xuất khối mà còn trực tiếp viết lại trạng thái chuỗi. Các giao dịch và thay đổi trạng thái phát sinh sau điểm khôi phục đều không còn thuộc về chuỗi chính thức sau khi khởi động lại.

Ontology và ICON đã áp dụng một bộ biện pháp khẩn cấp khác. Ontology đã tạm dừng sản xuất khối trước khi xác nhận hành vi tấn công độc hại, bản cập nhật ngày 1 tháng 9 cho biết hoạt động độc hại này không gây tổn thất tài sản cho người dùng. ICON trước tiên tạm dừng hợp đồng bị tấn công, sau đó mới tắt toàn bộ mạng; quỹ cho biết mạng do họ kiểm soát trong giai đoạn di chuyển, khi đó phần lớn ICX bị đánh cắp đã được chuyển vào tài khoản lưu ký của sàn giao dịch.

Việc ngừng blockchain chỉ là tầng kiểm soát đầu tiên. Vấn đề sâu xa hơn nằm ở chỗ: ai có quyền ra lệnh tắt mạng? Họ có thể viết lại trạng thái chuỗi đã được xác nhận hay không? Khi tiền di chuyển xuyên chuỗi hoặc vào các tổ chức lưu ký tập trung, những tổn thất nào sẽ không thể thu hồi?

So sánh cách xử lý khẩn cấp của ba blockchain công khai Cronos, Ontology, ICON

Cronos: Từ ngừng mạng đến viết lại trạng thái chuỗi

Cronos gọi việc xử lý sự kiện lần này là "hành động khẩn cấp theo đồng thuận của người xác thực". Thông báo khởi động lại ngày 31 tháng 8 cho thấy, vào lúc 23:49:01 UTC ngày 30 tháng 8, mạng đã khôi phục sản xuất khối từ độ cao khối 90.896.189, trạng thái chuỗi được hoàn nguyên về trước khi cuộc tấn công khai thác lỗ hổng Tectonic xảy ra.

Thao tác ngừng mạng của Cronos đồng nghĩa với việc đưa ra lựa chọn phân bổ lợi ích đối với điểm khôi phục. Sau điểm kiểm tra, các trạng thái trên chuỗi liên quan đến lỗ hổng, cùng với tất cả giao dịch không liên quan trong khoảng thời gian đó, đều bị xóa khỏi chuỗi chính thức. Thông báo khởi động lại không kèm theo danh sách giao dịch, số liệu thống kê nút xác thực, ngưỡng trọng số bỏ phiếu và danh sách các nút tham gia. Cronos cam kết sẽ công bố báo cáo phục hồi sau sự cố, cần giải thích đầy đủ quy trình xử lý và phạm vi ảnh hưởng kỹ thuật.

Ngay cả quy mô tài sản thực sự được bảo vệ bởi lần can thiệp này cũng chưa có kết luận. TRM Labs ước tính, sau khi giá token TONIC bị thao túng, khoảng 75 triệu USD tài sản đã bị vay ra; trong đó khoảng 6 triệu USD chảy sang Ethereum, khoảng 68,7 triệu USD đã được hoàn nguyên trong chuỗi Cronos. Thống kê của Bitquery đưa ra tổng quy mô dòng tiền chảy ra cao hơn, khoảng 8,3 triệu USD tài sản chảy sang Ethereum, tổng cộng 10.961 khối bị loại bỏ.

Hai bộ thống kê đo lường các đối tượng khác nhau, dữ liệu tổn thất cuối cùng chính thức của Tectonic vẫn chưa được công bố. Nhưng có một điểm đã rất rõ ràng: việc rollback của Cronos chỉ có thể khôi phục trạng thái vẫn còn nằm trong chuỗi của mình, tài sản trên chuỗi Ethereum hoàn toàn nằm ngoài tầm kiểm soát của nó.

Phương án xử lý tài sản của Tectonic vẫn còn để lại vấn đề sổ sách cho người dùng. Giao thức này cho biết sẽ ưu tiên mở chức năng rút tiền và trả nợ vay, đồng thời tạm dừng gửi tiền và phát sinh khoản vay mới. Phương án này cung cấp lối thoát và con đường giảm đòn bẩy cho người dùng, nhưng liệu bên cung cấp vốn có thể rút toàn bộ hay không vẫn chưa được xác nhận. Báo cáo sau sự cố mà Tectonic sắp công bố còn cần làm rõ nguyên lý lỗ hổng, tổng dòng tiền chảy ra, quy mô nợ xấu, tài sản đã thu hồi và các khoản nợ còn tồn đọng khác.

Tiến độ phục hồi của các loại cơ sở hạ tầng không đồng bộ với việc khởi động lại đồng thuận chuỗi. Cronos nhắc nhở rằng các giao thức, cầu nối xuyên chuỗi, trình khám phá khối và dịch vụ RPC cần thời gian lâu hơn để phục hồi. Trang trạng thái của Alchemy cũng ghi nhận riêng lần ngừng mạng và quá trình phục hồi sau đó. Mạng chuỗi có thể tuyên bố chính thức khởi động lại, nhưng các dịch vụ phụ thuộc vào nó chưa chắc đã sẵn sàng.

Ontology: Ngừng mạng chỉ để giành thời gian xử lý, không hủy bỏ giao dịch

Hành động xử lý của Ontology diễn ra trước khi xác nhận hoạt động độc hại. Mạng cho biết đội ngũ phát triển lõi đã phát hiện rủi ro bảo mật tiềm ẩn trong quá trình kiểm tra định kỳ, ngay lập tức tạm dừng sản xuất khối và giao cho đội ngũ kỹ thuật cùng các nút xác thực tiến hành rà soát hệ thống.

Bản cập nhật ngày 1 tháng 9 cho biết, quá trình rà soát xác nhận có hành vi tấn công độc hại, mạng chính sẽ tiếp tục ngừng hoạt động để tiến hành sửa lỗ hổng và nâng cấp mạng; cuộc tấn công này không xâm phạm tài sản của người dùng. Mục tiêu của Ontology là khôi phục hoạt động bình thường trong vòng 24 giờ, với điều kiện việc kiểm tra bảo mật, sửa lỗ hổng, nâng cấp và thử nghiệm đều hoàn tất thuận lợi.

Việc ngừng mạng của Ontology giữ nguyên toàn bộ trạng thái trên chuỗi đã được xác nhận, chỉ dừng việc xác nhận và thanh toán các giao dịch mới. Thông báo không chỉ định điểm khôi phục, cũng không công bố tập hợp giao dịch cần hủy bỏ.

Thông tin quyền hạn được công bố công khai không đầy đủ. Thông báo đề cập đến sự tham gia của đội ngũ phát triển lõi, đội ngũ kỹ thuật và các nút xác thực mạng, nhưng không nêu rõ ai là người ra quyết định có tính ràng buộc cuối cùng, cũng không đưa ra ngưỡng xử lý khẩn cấp dưới dạng con số. Tài liệu VBFT của Ontology mô tả cơ chế đồng thuận thông thường, bao gồm việc nút tạo khối xác nhận và hợp đồng quản trị cập nhật tập hợp nút đồng thuận, nhưng tài liệu chỉ bao phủ các kịch bản vận hành bình thường, quy tắc tạm dừng khẩn cấp được sử dụng vào ngày 31 tháng 8 không được công bố ra bên ngoài.

Ngay cả khi không gây tổn thất tài sản, việc ngừng mạng vẫn tạo ra chi phí thực tế. Ontology thông báo cho người dùng rằng các giao dịch trên chuỗi sẽ không thể xử lý, khuyến nghị không thực hiện các thao tác nhạy cảm về thời gian; sau đó cho biết việc khởi động lại mạng phụ thuộc vào việc sửa lỗ hổng, nâng cấp và thử nghiệm. Người dùng không thể điều chỉnh vị thế, chuyển khoản thanh toán trên chuỗi, tất cả dịch vụ bên ngoài kết nối với chuỗi này chỉ có thể chờ tín hiệu từ mạng.

Tiêu chí đánh giá khôi phục hoạt động lấy an toàn làm định hướng, nhưng chi tiết cụ thể còn hạn chế. Ontology cho biết chỉ cần việc sửa lỗi, nâng cấp, thử nghiệm và xác minh hoàn tất, sẽ nỗ lực khôi phục dịch vụ trong 24 giờ, nhưng ai là người phán quyết điều kiện đã đạt được và ngưỡng kích hoạt là bao nhiêu thì không được công bố ra bên ngoài.

Điều này dẫn đến sự không chắc chắn ở tầng quản trị: thông báo ghi rõ các bên tham gia rà soát, nhưng chủ thể có quyền quyết định khởi động lại cuối cùng không được xác định rõ. Đối với người dùng, rủi ro hiện tại đến từ việc gián đoạn dịch vụ, chứ không phải tổn thất tài sản xác định hay việc rollback chuỗi.

ICON: Vì sao ngừng blockchain cũng đã quá muộn

Sự kiện của ICON cho thấy toàn bộ quá trình cảnh báo, xử lý và tài sản thoát khỏi tầm kiểm soát của chuỗi.

Theo báo cáo phục hồi sau sự cố của quỹ, kẻ tấn công đã phát lại 1.492 lần hai thông điệp rút tiền có chữ ký hợp lệ trong lịch sử, trong khoảng thời gian từ 02:01:02 đến 02:21:12 UTC ngày 27 tháng 8. Lỗi thiếu chính xác khiến 1.490 lần gọi trong số đó thành công, chuyển ra 119,866 triệu ICX và 531.600 bnUSD từ quỹ tài sản của quỹ.

Lúc 02:08, hệ thống giám sát đã phát cảnh báo, nhân viên kỹ thuật sau đó mới tiến hành điều tra; hợp đồng bị ảnh hưởng bị tạm dừng lúc 03:53. Các sàn giao dịch lớn lần lượt tắt nạp rút ICX lúc 05:54, việc ngừng toàn bộ mạng chính thức có hiệu lực lúc 06:18:54. ICON hoàn tất khởi động lại vào khoảng 07:51 ngày 28 tháng 8, cách nhau khoảng 25 giờ, đồng thời sửa lỗ hổng nền tảng.

Báo cáo phục hồi cho rằng gốc rễ vấn đề nằm ở quy trình phản hồi sự kiện, chứ không phải năng lực phát hiện kém. Cảnh báo được kích hoạt trong vòng 7 phút, nhưng loại cảnh báo này thường bị nhầm lẫn với các bất thường RPC không liên quan, hệ thống không thông báo cho nhân viên trực ca. Cuộc điều tra kỹ thuật chỉ bắt đầu vào khoảng 03:40, không lâu sau đó hợp đồng mới bị tạm dừng.

Đến khi chuỗi chính thức ngừng hoạt động, phần lớn ICX bị ảnh hưởng đã được các sàn giao dịch đưa vào hệ thống lưu ký của riêng họ. Các biện pháp kiểm soát phía chuỗi ICON không thể ngăn các sàn giao dịch chuyển đi hoặc chuyển đổi tài sản mà họ nắm giữ. Quỹ chỉ có thể dựa vào việc đóng băng tài sản của sàn giao dịch, thông báo bảo toàn, luật sư và cơ quan thực thi pháp luật để xử lý.

Ranh giới lưu ký trực tiếp quyết định việc quy kết tổn thất. ICON cho biết toàn bộ tài sản bị ảnh hưởng đều thuộc về quỹ, tiền gửi, số dư và vị thế của người dùng thông thường không bị đụng chạm. Báo cáo cho thấy 531.600 bnUSD và 1,366 triệu SODA đã được thu hồi toàn bộ; trong số 113.634 USDC đã cho vay, 82.430 đã được thu hồi. Tổn thất ròng được xác nhận khoảng 150,2 ETH, cộng thêm 31.204 USDC. Đại đa số ICX liên quan chỉ bị đóng băng hoặc theo dõi tại các sàn giao dịch, chưa thực sự được thu hồi.

Kiến trúc kiểm soát của ICON cũng khác biệt so với hai trường hợp còn lại. Báo cáo phục hồi ghi rõ trong thời gian di chuyển token, mạng do quỹ kiểm soát; tài liệu hướng dẫn di chuyển đề cập rằng đồng thuận vận hành ở chế độ bảo trì, chỉ có 7 nút lõi. Do đó, lần ngừng mạng này dựa trên một kiến trúc vận hành đặc biệt do quỹ kiểm soát rõ ràng.

Quyền khẩn cấp về bản chất cũng là quyền lực ở tầng bảng cân đối kế toán

Mỗi lần blockchain ngừng hoạt động, về bản chất đều là chuyển rủi ro đến những nơi khác nhau.

• Cronos sửa đổi lịch sử chuỗi chính thức: có thể bảo vệ tài sản vẫn nằm trong phạm vi quyền hạn của chuỗi, nhưng đồng thời hủy bỏ các hoạt động trên chuỗi bình thường ngoài lỗ hổng, bất lực đối với tài sản trên Ethereum.
• Ontology chuyển rủi ro thành chi phí thời gian và tổn thất tính khả dụng của dịch vụ, trong thời gian điều tra giao dịch không thể thanh toán, không xác nhận tổn thất sổ sách tài sản.
• ICON chỉ hoàn tất việc cô lập hợp đồng và mạng sau khi tài sản đã được chuyển ra ngoài phạm vi lưu ký của chuỗi; tổn thất được xác nhận do quỹ gánh chịu, việc thu hồi ICX bị đóng băng phụ thuộc vào sàn giao dịch và cơ quan tư pháp.

Chỉ một điểm số phi tập trung đơn thuần sẽ che lấp những kết cục hoàn toàn khác biệt này. Tiêu chí đánh giá thực dụng hơn là: quy tắc xử lý khẩn cấp có được công khai hay không? Ngưỡng kích hoạt xử lý là gì? Chỉ dừng các khối mới, hay viết lại trạng thái chuỗi đã được xác nhận? Khi can thiệp xảy ra, tài sản thoát khỏi quyền hạn của chuỗi do ai kiểm soát? Ai cam kết gánh chịu tổn thất còn lại?

Cronos và Tectonic vẫn còn phải công bố báo cáo phục hồi đầy đủ. Ontology cần công bố chi tiết cuộc tấn công và quy tắc ủy quyền khẩn cấp, sau đó còn phải xác nhận liệu các điều kiện phán quyết nâng cấp và khởi động lại đã đạt được hay chưa. Điều thực sự đáng so sánh là ranh giới rủi ro mà mỗi mạng vạch ra — lịch sử, thời gian và tiền bạc nào sẽ bị đặt dưới rủi ro.

Liên kết gốc