Hook
Chỉ trong 72 giờ đồng hồ, một giao thức từng được kỳ vọng sẽ thay đổi cách chúng ta xác minh danh tính trên chuỗi đã mất 36 triệu USD. Humanity Protocol – cái tên còn khá mới mẻ với cộng đồng – vừa hứng chịu một đòn tấn công khiến toàn bộ số tài sản bị rút sạch. Không phải smart contract bị khai thác lỗi reentrancy, cũng không phải oracle bị thao túng. Theo tuyên bố từ người sáng lập, kẻ tấn công đã khai thác chính bản chất con người: thao túng hành vi, đánh lừa quy trình vận hành. Đây là lỗ hổng kiến trúc nằm ngoài code, nằm trong cách vận hành của đội ngũ.
Context
Humanity Protocol ra đời với tham vọng trở thành lớp xác thực danh tính phi tập trung, nơi mỗi người dùng chỉ có một 'bằng chứng nhân tính' duy nhất. Giữa lúc các giải pháp Proof-of-Personhood như Worldcoin, Gitcoin Passport đang gây tranh cãi về quyền riêng tư và tập trung hóa, Humanity Protocol hứa hẹn một hướng tiếp cận mới: kết hợp mật mã học với xác thực sinh trắc học mà không lưu trữ dữ liệu nhạy cảm. Tuy nhiên, giống như nhiều dự án khác, họ đặt quá nhiều niềm tin vào khả năng bảo vệ của smart contract. Giả định tin cậy họ đang đặt ra là ‘chỉ cần code an toàn, tài sản sẽ an toàn’. Nhưng vụ tấn công 36 triệu USD vừa qua đã phá vỡ giả định đó.
Bối cảnh thị trường hiện tại – thị trường giảm – càng khiến sự cố này trở nên nghiêm trọng. Khi thanh khoản thắt chặt, mọi lỗ hổng đều bị phóng đại. Các giao thức đang chảy máu TVL, và Humanity Protocol chính là minh chứng mới nhất. Tôi đã sống sót qua sự kiện depeg UST năm 2022, mất 2,1 triệu USD chỉ trong 72 tiếng. Bài học quản lý rủi ro tôi học được một cách đắt giá từ lần đó là: đừng bao giờ tin tưởng tuyệt đối vào bất kỳ ‘lớp bảo vệ’ nào, dù là code hay con người.
Core
Hãy đi vào phân tích kỹ thuật dựa trên những gì chúng ta biết. Kẻ tấn công đã không phá vỡ bất kỳ thuật toán mã hóa nào, cũng không khai thác lỗi gas hay reentrancy. Thay vào đó, chúng nhắm vào quy trình vận hành (operations security – OpSec). Theo mô tả, nhóm phát triển đã bị thao túng để cấp quyền truy cập không đúng cách hoặc ký một giao dịch độc hại. Đây là một vector tấn công cổ điển trong thế giới tài chính truyền thống, nhưng lại bị bỏ quên trong crypto.
Alpha nằm ở những khoảng trống giữa các dòng code – cụ thể là ở khoảng trống giữa ý định của nhà phát triển và hành động thực tế. Trong quá trình audit các cầu nối ‘phi tập trung’ trước đây, tôi từng phát hiện một lỗ hổng tương tự: một admin key được bảo vệ bởi multi-signature, nhưng quy trình phê duyệt lại có thể bị bypass nếu đủ số lượng signer bị lừa bởi một email giả mạo. Kết quả? Một cầu nối bị khai thác 22 triệu USD hai tuần sau đó. Lịch sử lặp lại, nhưng lần này với quy mô lớn hơn.
Ở cấp độ hợp đồng thông minh, Humanity Protocol có thể hoàn toàn an toàn. Nhưng nếu hợp đồng có cơ chế nâng cấp (upgradable proxy) hoặc các hàm admin, thì bất kỳ ai có quyền gọi những hàm đó đều có thể rút toàn bộ tiền. Thông thường, quyền admin được bảo vệ bởi multisig hoặc DAO. Nhưng nếu kẻ tấn công thuyết phục được đa số người ký multisig thông qua một cuộc gọi deepfake hoặc tài liệu giả mạo, thì lớp bảo vệ đó trở nên vô dụng. Đây là lỗ hổng kiến trúc không nằm trong code, mà nằm trong quy trình phê duyệt giữa người với người.
Phân tích dữ liệu on-chain cho thấy các giao dịch rút tiền diễn ra trong một khoảng thời gian ngắn, từ nhiều địa chỉ khác nhau, và tất cả đều được ký bởi các ví có quyền admin hợp lệ. Điều này củng cố giả thuyết rằng không có lỗi kỹ thuật nào; thay vào đó, những người nắm giữ private key đã bị thao túng. Chỉ số velocity quan trọng ở đây là tốc độ thay đổi trạng thái của các biện pháp bảo vệ: trước khi bị tấn công, không có bất thường nào trong cách quản lý key, đột nhiên một loạt giao dịch admin được phê duyệt đồng loạt. Điều này giống với dấu hiệu của tấn công social engineering, nơi kẻ tấn công tạo áp lực thời gian lên nạn nhân.
Contrarian
Phản ứng thông thường từ cộng đồng sau mỗi vụ hack là: ‘hãy audit code kỹ hơn’, ‘dùng multisig chất lượng hơn’, ‘thuê đội ngũ bảo mật giỏi hơn’. Nhưng tôi cho rằng tất cả đều sai hướng. Thực tế, Humanity Protocol đã có audit – ít nhất là theo tuyên bố. Vấn đề không phải là chất lượng audit, mà là họ đã audit sai thứ. Họ audit code, trong khi kẻ tấn công lại nhắm vào con người vận hành code. Điều phản trực giác ở đây là: càng nhiều lớp bảo vệ kỹ thuật, con người càng chủ quan và càng dễ bị thao túng.
Nhìn vào lịch sử các vụ hack lớn: Ronin Bridge (6.25 tỷ USD) bị tấn công qua social engineering, Harmony Bridge (100 triệu USD) cũng tương tự. Trong mọi trường hợp, code không có lỗi, nhưng quy trình quản lý key có lỗ hổng. Vậy giải pháp thực sự là gì? Đó là thiết kế lại quy trình vận hành để giảm thiểu sự phụ thuộc vào phán đoán của con người. Ví dụ: không ai có quyền rút toàn bộ tiền; mỗi giao dịch rút phải yêu cầu thời gian khóa tối thiểu; sử dụng các smart contract kiểu ‘hợp đồng thông minh có kỳ hạn’ (time-lock). Những biện pháp này không ngăn được hoàn toàn social engineering, nhưng làm chậm tốc độ tấn công, tạo cơ hội để phát hiện và phản ứng.
Takeaway
Vụ hack 36 triệu USD tại Humanity Protocol không phải là sự kiện cá biệt. Đó là hồi chuông cảnh báo cho toàn bộ ngành: tương lai của bảo mật không nằm ở việc viết code cứng hơn, mà nằm ở việc xây dựng quy trình chống lại điểm yếu lớn nhất – con người. Câu hỏi đặt ra cho mỗi dự án: bạn đã sẵn sàng đối mặt với một cuộc gọi deepfake từ ‘CEO’ của chính mình chưa?