AI đang thay đổi các cuộc tấn công mạng trong lĩnh vực tiền mã hóa như thế nào? Tìm hiểu các lỗ hổng hợp đồng thông minh và rủi ro bảo mật chuỗi cung ứng

Các cuộc tấn công tiền mã hóa có hỗ trợ bởi AI là các hoạt động an ninh mạng trong đó kẻ tấn công sử dụng mô hình AI, công cụ phân tích mã tự động hoặc AI Agent để nâng cao hiệu quả phát hiện lỗ hổng, phân tích mã độc, kỹ nghệ xã hội và chuẩn bị tấn công. Khi các mô hình ngôn ngữ lớn phát triển từ công cụ tạo văn bản thành các hệ thống thông minh có khả năng hiểu mã, gọi công cụ và thực hiện tác vụ nhiều bước, AI đang định hình lại bối cảnh bảo mật của ngành tiền mã hóa.

So với các ứng dụng internet truyền thống, hệ thống tài chính tiền mã hóa có rủi ro tài sản trực tiếp hơn. Hợp đồng thông minh có thể tự động quản lý tiền, chữ ký ví có thể cấp quyền chuyển tài sản và giao dịch trên chuỗi thường khó đảo ngược sau khi được xác nhận. Do đó, kẻ tấn công không nhất thiết phải xâm phạm mạng blockchain nền tảng. Việc khai thác điểm yếu trong logic hợp đồng thông minh, quyền của môi trường phát triển hoặc chữ ký của người dùng có thể đã đủ để gây tổn thất tài sản.

Việc áp dụng AI rộng rãi đang tiếp tục làm thay đổi cấu trúc rủi ro này. Phân tích lỗ hổng đang trở nên tự động hơn, mã độc có thể lan truyền thông qua các phần phụ thuộc phần mềm và AI Agent có khả năng gọi công cụ đang bắt đầu tương tác với ví cùng các giao diện giao dịch trên chuỗi. Vì vậy, các vấn đề bảo mật tiền mã hóa không còn chỉ giới hạn ở chính hợp đồng thông minh. Chúng đang dần mở rộng để bao phủ toàn bộ quy trình phát triển phần mềm, dịch vụ bên thứ ba và thực hiện giao dịch tiền. Bài viết này xem xét cách AI đang thay đổi các cuộc tấn công tiền mã hóa từ các góc độ lỗ hổng hợp đồng thông minh, chuỗi cung ứng phần mềm, AI Agent và bảo mật ví, đồng thời tìm hiểu cách ngành có thể xây dựng một hệ thống phòng thủ toàn diện hơn.

Những điểm chính

• AI đang thay đổi hiệu quả và chi phí của các cuộc tấn công tiền mã hóa. Các mô hình ngôn ngữ lớn có thể hỗ trợ phân tích mã, sàng lọc lỗ hổng và thu thập thông tin, tự động hóa một phần hoạt động nghiên cứu bảo mật vốn trước đây cần nhiều công sức thủ công.

• Hợp đồng thông minh vẫn là mục tiêu quan trọng của các cuộc tấn công nhằm vào tài sản tiền mã hóa. Lỗi kiểm soát truy cập, lỗ hổng tái nhập, thao túng oracle và lỗi logic nghiệp vụ không phải là các vấn đề mới trong thời đại AI, nhưng AI có thể rút ngắn thời gian cần thiết để phát hiện và xác thực chúng.

• Chuỗi cung ứng phần mềm đang trở thành một phương thức tấn công quan trọng. Các phần phụ thuộc mã nguồn mở, gói npm, thành phần giao diện người dùng, công cụ xây dựng và dịch vụ bên thứ ba mà nhà phát triển sử dụng đều có thể trở thành kênh đưa mã độc vào ứng dụng tiền mã hóa.

• AI Agent đang mở rộng ranh giới của rủi ro bảo mật. Khi các hệ thống AI có thể gọi công cụ bên ngoài, đọc thông tin nhạy cảm hoặc thực hiện giao dịch trên chuỗi, việc chèn câu lệnh, lạm dụng đặc quyền và thực hiện sai có thể ảnh hưởng trực tiếp đến tính an toàn của tài sản số.

• Kiểm toán bảo mật không đồng nghĩa với bảo mật hoàn toàn cho hệ thống. Ngay cả khi hợp đồng thông minh vượt qua kiểm toán, một dự án vẫn có thể bị tấn công do giao diện người dùng bị xâm phạm, khóa riêng tư của quản trị viên bị rò rỉ hoặc một phần phụ thuộc độc hại được cập nhật.

• AI cũng có thể nâng cao hiệu quả phòng thủ. Hoạt động rà soát mã tự động, giám sát giao dịch bất thường và nhận diện rủi ro có thể giúp đội ngũ bảo mật mở rộng phạm vi giám sát, nhưng việc xác minh của con người và kiểm soát truy cập vẫn cần thiết.

Vì sao AI đang thay đổi chi phí và hiệu quả của các cuộc tấn công tiền mã hóa?

Các cuộc tấn công mạng truyền thống thường yêu cầu kẻ tấn công có kiến thức về phân tích mã, kiến trúc hệ thống, kiểm thử bảo mật và khai thác lỗ hổng. Đối với các giao thức DeFi phức tạp, kẻ tấn công cũng cần hiểu cấu trúc bể thanh khoản, định giá token, cơ chế tài sản thế chấp và sự tương tác giữa các hợp đồng thông minh khác nhau. Những yêu cầu kỹ thuật này làm tăng chi phí chuẩn bị tấn công và hạn chế số lượng mục tiêu mà một số kẻ tấn công có thể phân tích.

Các công cụ AI đang hạ thấp rào cản đối với một số tác vụ này. Mô hình ngôn ngữ lớn có thể nhanh chóng đọc lượng lớn mã, giải thích chức năng của mã phức tạp, xác định các cài đặt quyền bất thường và hỗ trợ sắp xếp các hướng lỗ hổng tiềm năng. AI Agent có khả năng gọi công cụ cũng có thể kết hợp kiểm tra mã, mô phỏng giao dịch và phân tích kết quả trong môi trường thử nghiệm để liên tục thực hiện các tác vụ nhiều bước.

Ví dụ, các nhà nghiên cứu bảo mật truyền thống có thể cần đọc từng hàm hợp đồng để hiểu những quyền hạn và lệnh gọi bên ngoài nào liên quan đến một thao tác tiền cụ thể. AI có thể hỗ trợ sắp xếp các mối quan hệ này, giúp nhà nghiên cứu xác định nhanh hơn những khu vực mã cần được xác thực thêm. Khi kẻ tấn công sử dụng các công cụ tương tự, họ cũng có thể sàng lọc mục tiêu tiềm năng hiệu quả hơn.

Tuy nhiên, khả năng giải thích mã của AI không có nghĩa là AI có thể xác định chính xác mọi lỗ hổng. Các cuộc tấn công hợp đồng thông minh thường liên quan đến trạng thái tiền cụ thể, trình tự giao dịch và điều kiện kinh tế. Mô hình có thể bỏ sót các ràng buộc quan trọng hoặc xác định sai các thiết kế bình thường là vấn đề bảo mật.

Do đó, tác động trực tiếp nhất của AI đối với các cuộc tấn công tiền mã hóa không phải là tạo ra các loại lỗ hổng hoàn toàn mới. Thay vào đó, AI rút ngắn thời gian cần thiết cho một số hoạt động nghiên cứu lỗ hổng và chuẩn bị tấn công, đồng thời mở rộng phạm vi phân tích tự động.

AI có thể đẩy nhanh việc phát hiện và khai thác lỗ hổng hợp đồng thông minh như thế nào?

Lỗ hổng hợp đồng thông minh thường xuất phát từ sự khác biệt giữa việc triển khai mã và các quy tắc nghiệp vụ dự kiến. Vì hợp đồng thông minh trực tiếp quản lý tài sản trên chuỗi, lỗi trong logic quan trọng có thể ảnh hưởng đến việc chuyển tiền, thanh lý tài sản thế chấp hoặc quyền của giao thức.

AI có thể hỗ trợ phân tích các mối quan hệ logic này, đặc biệt khi kiểm tra số lượng lớn hợp đồng tương tự, sắp xếp các lệnh gọi hàm phức tạp và xác định các vấn đề bảo mật lặp lại.

Các rủi ro phổ biến của hợp đồng thông minh bao gồm những nội dung sau.

Lỗ hổng logic nghiệp vụ cần được đặc biệt chú ý. Không giống các lỗi mã rõ ràng, một số lỗ hổng không vi phạm quy tắc của ngôn ngữ lập trình. Thay vào đó, chúng khai thác các lỗi thiết kế trong cơ chế kinh tế của giao thức. Ví dụ, phương pháp định giá tài sản thế chấp của một giao thức cho vay có thể tạo ra kết quả bất thường trong các điều kiện thị trường đặc biệt. Ngay cả khi từng hàm riêng lẻ hoạt động bình thường, quy trình quản lý tiền tổng thể vẫn có thể gặp vấn đề.

AI có thể hỗ trợ xác định các mẫu bất thường trong mã, nhưng rủi ro logic kinh tế vẫn cần được xác thực dựa trên quy tắc nghiệp vụ thực tế, dữ liệu trên chuỗi và môi trường giao dịch.

Ngoài ra, nghiên cứu lỗ hổng có hỗ trợ bởi AI có thể phát triển thành một quy trình lặp lại liên tục. Một hệ thống có thể phân tích mã trước, sử dụng phản hồi kiểm thử để xác định giả thuyết có hợp lệ hay không, sau đó điều chỉnh hướng phân tích. Cách tiếp cận tự động này nâng cao hiệu quả nghiên cứu, nhưng cũng đồng nghĩa đội ngũ bảo mật cần chú trọng hơn đến kiểm thử liên tục thay vì chỉ thực hiện một lần kiểm tra trước khi triển khai hợp đồng.

Các cuộc tấn công chuỗi cung ứng phần mềm là gì và vì sao chúng có thể vượt qua kiểm toán hợp đồng thông minh?

Tấn công chuỗi cung ứng phần mềm là phương thức tấn công trong đó kẻ tấn công đưa mã độc vào ứng dụng mục tiêu thông qua gói bên thứ ba, công cụ phát triển, quy trình xây dựng hoặc dịch vụ bên ngoài. Khác với việc trực tiếp tìm kiếm lỗ hổng hợp đồng thông minh, kiểu tấn công này thường sử dụng các thành phần phần mềm mà nhà phát triển đã tin tưởng làm điểm xâm nhập.

Ứng dụng tiền mã hóa hiện đại không chỉ gồm các hợp đồng thông minh trên chuỗi. Một sản phẩm DeFi hoàn chỉnh thường còn bao gồm trang web giao diện người dùng, công cụ kết nối ví, giao diện dữ liệu giao dịch, phần phụ thuộc JavaScript, dịch vụ máy chủ và hệ thống triển khai tự động. Ngay cả khi các hợp đồng trên chuỗi đã vượt qua kiểm toán, một thành phần bên ngoài vẫn có thể tạo ra rủi ro độc lập.

Ví dụ, một ứng dụng sàn giao dịch phi tập trung có thể sử dụng thành phần kết nối ví của bên thứ ba. Nếu mã độc được chèn vào thành phần đó trong quá trình cập nhật phần mềm, người dùng có thể nhận được yêu cầu giao dịch khác với yêu cầu dự kiến ngay cả khi họ truy cập trang web hợp pháp. Trong trường hợp này, vấn đề có thể không bắt nguồn từ chính giao thức giao dịch. Nó có thể xảy ra trước khi người dùng tương tác với hợp đồng thông minh.

Các cuộc tấn công chuỗi cung ứng phần mềm có thể lan rộng. Nếu nhiều dự án sử dụng cùng một gói phụ thuộc hoặc thành phần giao diện người dùng, việc xâm phạm một thành phần duy nhất có thể ảnh hưởng đến nhiều ứng dụng cùng lúc.

Sự cố Ledger Connect Kit năm 2023 đã cho thấy rủi ro này. Mã độc đã xâm nhập vào một thành phần kết nối ví thông qua quy trình phát hành phần mềm bị xâm phạm và ảnh hưởng đến một số ứng dụng phi tập trung phụ thuộc vào các thành phần liên quan. Những sự cố này cho thấy việc kiểm toán hợp đồng thông minh không có nghĩa toàn bộ môi trường ứng dụng mà người dùng truy cập được bảo vệ ở cùng một mức độ.

Khi các thành phần mã nguồn mở và công cụ phát triển tự động được sử dụng rộng rãi hơn trong toàn bộ hệ sinh thái Web3, bảo mật chuỗi cung ứng phần mềm đã trở thành một lĩnh vực phòng thủ quan trọng ngang với bảo mật hợp đồng thông minh.

AI có thể làm gia tăng rủi ro tấn công chuỗi cung ứng phần mềm như thế nào?

Công cụ lập trình AI có thể giúp nhà phát triển nhanh chóng tạo mã, cài đặt phần phụ thuộc và cấu hình môi trường phát triển. Tuy nhiên, nếu thiếu hoạt động rà soát cần thiết, phát triển tự động cũng có thể làm tăng rủi ro tiềm ẩn trong chuỗi cung ứng phần mềm.

Mã do AI tạo có thể tham chiếu đến các gói phần mềm chưa được xác minh đầy đủ hoặc sử dụng các phần phụ thuộc lỗi thời không phù hợp với dự án hiện tại. Nếu nhà phát triển chấp nhận kết quả được tạo mà không rà soát, họ có thể đưa rủi ro bảo mật không cần thiết vào dự án.

AI Agent có thể có quyền vận hành lớn hơn các công cụ hoàn thành mã thông thường. Ví dụ, một số Agent có thể đọc tệp dự án, gọi công cụ dòng lệnh, truy cập dịch vụ bên ngoài và sửa đổi môi trường phát triển. Khi các khả năng này kết hợp với nội dung bên thứ ba không đáng tin cậy, rủi ro không còn chỉ giới hạn ở chất lượng mã.

Một vấn đề quan trọng là chèn câu lệnh. Kẻ tấn công có thể cố gắng nhúng chỉ dẫn độc hại vào trang web, tài liệu, bình luận mã hoặc phản hồi công cụ để khiến AI Agent lệch khỏi nhiệm vụ ban đầu. Nếu Agent không có ranh giới quyền hạn được xác định rõ ràng, Agent có thể thực hiện những hành động mà nhà phát triển không cho phép.

Những rủi ro này đặc biệt nhạy cảm đối với các dự án tiền mã hóa. Môi trường phát triển có thể chứa thông tin xác thực triển khai, khóa dịch vụ RPC, cấu hình ký tự động và các thông tin nhạy cảm khác. Nếu một công cụ AI có thể trực tiếp truy cập những nội dung này, dữ liệu đầu vào bên ngoài có thể trở thành điểm xâm nhập gián tiếp để tác động đến hoạt động nội bộ.

Vì vậy, bảo mật chuỗi cung ứng phần mềm trong thời đại AI không chỉ yêu cầu kiểm tra các phần phụ thuộc có đáng tin cậy hay không. Nó cũng yêu cầu xác nhận các công cụ AI có thể truy cập tệp nào, có thể thực hiện lệnh nào và liệu chúng có thể truy cập tiền thực cùng thông tin xác thực quan trọng hay không.

Vì sao tổn thất tài sản vẫn có thể xảy ra sau khi hợp đồng thông minh vượt qua kiểm toán?

Kiểm toán hợp đồng thông minh chủ yếu được sử dụng để đánh giá các vấn đề bảo mật trong một phiên bản mã cụ thể. Phạm vi kiểm toán thường bị giới hạn bởi phiên bản hợp đồng, các giả định nghiệp vụ và điều kiện kiểm thử. Kiểm toán có thể giảm rủi ro từ các lỗ hổng đã biết, nhưng không thể đảm bảo mọi phần của dự án luôn an toàn trong mọi thời điểm.

Hoạt động thực tế của một ứng dụng tiền mã hóa liên quan đến nhiều hệ thống được kết nối với nhau. Hợp đồng thông minh thực hiện logic trên chuỗi, trang web giao diện người dùng hiển thị thông tin giao dịch, ví cấp quyền cho chữ ký và đội ngũ phát triển, vận hành quản lý quyền nâng cấp, tham số cấu hình cùng dịch vụ bên ngoài.

Vấn đề tại bất kỳ một khu vực nào trong số này đều có thể ảnh hưởng đến tính an toàn của tiền người dùng.

Ví dụ, hợp đồng thông minh của một giao thức có thể không có lỗ hổng rõ ràng, nhưng trang web giao diện người dùng có thể bị xâm phạm. Người dùng có thể thấy một thao tác hoán đổi có vẻ bình thường trên trang, trong khi yêu cầu ví thực tế lại chứa nội dung cấp quyền bổ sung. Nếu người dùng không xác minh thông tin ký, họ có thể tự cấp cho kẻ tấn công những quyền không cần thiết để thao tác tài sản của mình.

Một rủi ro khác đến từ quyền của quản trị viên. Nếu kẻ tấn công có được quyền nâng cấp giao thức hoặc quyền kiểm soát cấu hình quan trọng, họ có thể sử dụng các chức năng quản trị mà hợp đồng đã cho phép để thay đổi cách xử lý tiền. Trong trường hợp này, cuộc tấn công có thể không cần khai thác lỗ hổng mã theo nghĩa truyền thống.

Do đó, các biện pháp bảo mật cần bao phủ nhiều lớp.

Điều này cũng giải thích vì sao chỉ đơn giản tăng số lượng cuộc kiểm toán hợp đồng thông minh không thể giải quyết mọi vấn đề bảo mật tiền mã hóa. Các dự án cũng cần liên tục quản lý phần phụ thuộc phần mềm, quyền phát triển và môi trường tương tác của người dùng.

AI Agent tự động thực hiện giao dịch trên chuỗi có thể tạo ra những rủi ro mới nào?

AI Agent đang phát triển từ công cụ phân tích thông tin thành các hệ thống tự động có khả năng gọi dịch vụ bên ngoài, thực hiện giao dịch và quản lý tài sản số. Trong một số trường hợp sử dụng, AI Agent có thể truy vấn thông tin thị trường dựa trên điều kiện cài đặt sẵn, phân tích giá tài sản và thực hiện thao tác thông qua ví hoặc giao diện giao dịch.

Mô hình này có thể nâng cao hiệu quả quản lý tiền, nhưng cũng đồng nghĩa hệ thống AI có thể trực tiếp tham gia vào việc chuyển tài sản.

Khi một chatbot truyền thống cung cấp thông tin không chính xác, người dùng thường vẫn cần thực hiện hành động tiếp theo trước khi tiền bị ảnh hưởng. Ngược lại, nếu một AI Agent có khả năng thực hiện trên chuỗi có quyền truy cập ví, Agent có thể trực tiếp biến một nhận định sai thành giao dịch.

Ví dụ, một Agent quản lý tiền tự động có thể xác định có nên điều chỉnh phân bổ tài sản hay không dựa trên dữ liệu bên ngoài. Nếu dữ liệu mà Agent đọc đã bị can thiệp hoặc Agent không thể nhận diện chính xác rủi ro liên quan đến hợp đồng mục tiêu, Agent có thể thực hiện thao tác không phù hợp với kỳ vọng của người dùng.

Một vấn đề khác là phạm vi quyền hạn. Nếu một Agent được cấp quyền phê duyệt token không giới hạn hoặc quyền vận hành lượng tiền lớn, chỉ một lần thực hiện sai cũng có thể gây tổn thất đáng kể. Ngược lại, việc đặt giới hạn cho từng giao dịch, danh sách cho phép địa chỉ mục tiêu và cơ chế xác nhận thủ công có thể giúp kiểm soát tác động tiềm ẩn.

Vì vậy, việc bảo mật AI Agent không chỉ yêu cầu cải thiện độ chính xác trong ra quyết định. Nó cũng cần các giới hạn thực hiện hoạt động độc lập với quyết định của mô hình.

Trong thiết kế thực tế, AI có thể phân tích thị trường và đề xuất giao dịch, trong khi việc chuyển tiền vẫn phải tuân theo các quy tắc ủy quyền được xác định rõ ràng. Đối với giao dịch rủi ro cao, số tiền bất thường hoặc tương tác với hợp đồng chưa xác định, hệ thống có thể yêu cầu xác minh bổ sung thay vì hoàn toàn dựa vào AI để tự đưa ra quyết định.

Đây sẽ là một vấn đề quan trọng cần giải quyết khi AI được tích hợp với tài chính trên chuỗi.

AI có thể cải thiện hoạt động phòng thủ bảo mật trong ngành tiền mã hóa không?

AI cũng có thể giúp đội ngũ bảo mật nâng cao hiệu quả phòng thủ. Đối với các dự án tiền mã hóa cần phân tích số lượng lớn hợp đồng thông minh, hồ sơ giao dịch và phần phụ thuộc phần mềm, công cụ tự động có thể giảm công việc lặp lại và giúp nhà nghiên cứu xác định hoạt động bất thường nhanh hơn.

Đối với bảo mật hợp đồng thông minh, AI có thể hỗ trợ rà soát mã, phân loại lỗ hổng và thiết kế trường hợp kiểm thử. Nhà phát triển có thể dùng AI để hiểu các mối quan hệ hàm phức tạp, sau đó kết hợp phân tích tĩnh, kiểm thử mờ và kiểm toán thủ công để xác thực các vấn đề tiềm ẩn.

Đối với giám sát trên chuỗi, AI có thể hỗ trợ xác định các chuyển động tiền bất thường, thay đổi đột ngột trong mô hình giao dịch và hành vi tương tự các cuộc tấn công trong quá khứ. Điều này có thể có giá trị với đội ngũ bảo mật cần liên tục giám sát nhiều giao thức và bể tài sản.

Đối với quản lý chuỗi cung ứng phần mềm, AI có thể hỗ trợ sắp xếp mối quan hệ giữa các phần phụ thuộc, xác định thay đổi phiên bản bất thường và phân tích cách cảnh báo bảo mật ảnh hưởng đến dự án hiện tại.

Tuy nhiên, công cụ phòng thủ AI cũng gặp vấn đề về cảnh báo sai, bỏ sót vấn đề và thiếu khả năng hiểu bối cảnh. Một số giao dịch chuyển lượng lớn bình thường có thể bị nhận diện nhầm là tấn công, trong khi các lỗ hổng logic kinh tế phức tạp có thể không được phát hiện bằng nhận dạng mẫu thông thường.

Do đó, AI phù hợp hơn với việc nâng cao hiệu quả của đội ngũ bảo mật thay vì tự xác định một giao thức có an toàn hay không. Một hệ thống phòng thủ hoàn chỉnh vẫn cần sự kết hợp giữa kiểm thử tự động, xác minh thủ công, giám sát liên tục và kiểm soát truy cập được xác định rõ ràng.

Người dùng thông thường có thể tự bảo vệ trước rủi ro bảo mật tiền mã hóa trong thời đại AI như thế nào?

Đối với người dùng thông thường, những thay đổi về bảo mật do AI mang lại chủ yếu thể hiện ở việc nội dung lừa đảo dễ được tạo hơn, hành vi mạo danh thuyết phục hơn và các trang web độc hại cùng thông tin giao dịch giả mạo có tính đánh lừa cao hơn.

Kẻ tấn công có thể sử dụng AI để nhanh chóng tạo email lừa đảo bằng nhiều ngôn ngữ, mạo danh tin nhắn hỗ trợ khách hàng và các giải thích đầu tư có vẻ chuyên nghiệp. Họ cũng có thể dùng giọng nói hoặc video giả để khiến hành vi mạo danh có vẻ đáng tin cậy hơn.

Dù thông tin có vẻ thuyết phục đến đâu, tổn thất tài sản thường vẫn cần một bước quan trọng, chẳng hạn như người dùng tiết lộ khóa riêng tư, kết nối với trang web độc hại, cấp quyền quá mức hoặc ký giao dịch không phù hợp với kỳ vọng.

Vì vậy, người dùng nên tập trung kiểm tra bảo mật vào các thao tác tiền thực tế.

Hãy truy cập nền tảng giao dịch và ứng dụng ví thông qua các kênh đáng tin cậy. Tránh sử dụng liên kết đăng nhập hoặc kết nối ví được cung cấp trong các tin nhắn không quen thuộc. Trước khi ký giao dịch, hãy xác minh địa chỉ đích, số tiền giao dịch và thông tin cấp quyền. Đặc biệt chú ý đến các phê duyệt không giới hạn và tương tác với hợp đồng không quen thuộc.

Đối với các phê duyệt token không còn cần thiết, hãy rà soát thường xuyên và thu hồi các quyền không cần thiết. Khi nắm giữ lượng lớn tài sản số, hãy cân nhắc tách ví dùng cho giao dịch hằng ngày khỏi ví dùng để lưu trữ dài hạn nhằm giảm tác động của một sự cố bảo mật đơn lẻ.

Ngoài ra, bất kỳ người nào tự xưng là đại diện dịch vụ khách hàng hoặc hỗ trợ kỹ thuật mà yêu cầu người dùng cung cấp cụm từ hạt giống, khóa riêng tư hoặc cụm từ khôi phục đều cần được xem là một tín hiệu rủi ro lớn. Ngay cả khi bên kia sử dụng giọng nói, video hoặc thuật ngữ chuyên nghiệp thuyết phục, điều này cũng không thể thay thế việc xác minh danh tính độc lập.

Các nguyên tắc cơ bản về bảo mật người dùng không thay đổi về bản chất trong thời đại AI. Điều quan trọng là xác minh chi tiết giao dịch, kiểm soát quyền sử dụng tiền và tránh dựa vào thông tin chưa được xác minh để bảo vệ tài sản.

Khung bảo mật tiền mã hóa sẽ phát triển như thế nào trong thời đại AI?

Khi các công cụ AI dần tham gia vào phát triển phần mềm, nghiên cứu lỗ hổng và giao dịch trên chuỗi, bảo mật tiền mã hóa đang chuyển từ bảo vệ theo từng điểm sang bảo vệ quy trình đầu cuối.

Trước đây, một số dự án chủ yếu dựa vào kiểm toán hợp đồng thông minh được thực hiện trước khi triển khai, với kỳ vọng giảm rủi ro thông qua rà soát mã. Tuy nhiên, trong các ứng dụng Web3 phức tạp, vấn đề bảo mật có thể phát sinh từ cập nhật phần phụ thuộc phần mềm, triển khai giao diện người dùng, thao tác quản trị viên, chữ ký người dùng và các lĩnh vực khác.

Trong tương lai, hoạt động kiểm tra bảo mật cần phản ánh sát hơn quy trình thực tế khi thực hiện giao dịch bằng tiền thật.

Đối với hợp đồng thông minh, dự án cần tiến hành kiểm thử toàn diện trước khi triển khai và liên tục theo dõi giao dịch bất thường trong quá trình vận hành. Đối với chuỗi cung ứng phần mềm, đội ngũ phát triển cần xác minh nguồn phần phụ thuộc, hạn chế quyền của công cụ tự động và bảo vệ thông tin xác thực triển khai cùng các khóa quan trọng.

Đối với ứng dụng trên chuỗi do AI Agent vận hành, cần thiết lập ranh giới bảo mật rõ ràng giữa quyết định của mô hình và việc thực hiện giao dịch thực tế. Ví dụ, giới hạn số tiền giao dịch, kiểm tra địa chỉ đích, tạm dừng khi có hành vi bất thường và cơ chế phê duyệt thủ công đều có thể giảm tác động của việc thực hiện tự động không chính xác.

Đồng thời, đội ngũ bảo mật cần đánh giá liệu chính các công cụ AI có đáng tin cậy hay không. Khả năng của mô hình trong việc xử lý chính xác dữ liệu không đáng tin cậy, việc lệnh gọi công cụ có vượt quá quyền được cấp hay không và các quyết định tự động có thể truy vết hay không sẽ đều trở thành các lĩnh vực đánh giá bảo mật mới.

Vì vậy, tác động dài hạn của AI đối với ngành tiền mã hóa không chỉ là cung cấp cho kẻ tấn công các công cụ mạnh hơn. AI cũng đang thúc đẩy hoạt động bảo vệ bảo mật chuyển từ kiểm toán một lần sang xác minh liên tục.

Kết luận

AI đang thay đổi hiệu quả và cấu trúc rủi ro của các cuộc tấn công tiền mã hóa. Các mô hình ngôn ngữ lớn và Agent tự động có thể hỗ trợ phân tích mã, nghiên cứu lỗ hổng và xử lý thông tin, qua đó giảm chi phí của một số hoạt động chuẩn bị tấn công. Tuy nhiên, điều này không có nghĩa mọi cuộc tấn công phức tạp đều có thể được tự động hóa hoàn toàn.

Lỗ hổng hợp đồng thông minh vẫn là nguồn rủi ro quan trọng, trong khi chuỗi cung ứng phần mềm, quyền của nhà phát triển, ứng dụng giao diện người dùng và chữ ký ví cũng có thể trực tiếp gây tổn thất tài sản. Khi AI Agent có thêm quyền gọi công cụ và vận hành tiền, các vấn đề bảo mật sẽ mở rộng sâu hơn sang việc thực hiện tự động và kiểm soát truy cập.

Đối với nhà phát triển, AI có thể nâng cao hiệu quả kiểm toán và giám sát, nhưng cần kết hợp với kiểm thử bảo mật truyền thống, quản lý phần phụ thuộc và rà soát thủ công. Đối với người dùng thông thường, xác minh chi tiết giao dịch, bảo vệ khóa riêng tư và giới hạn phạm vi ủy quyền vẫn là các biện pháp quan trọng để ngăn ngừa tổn thất tài sản.

Bảo mật tiền mã hóa trong thời đại AI đang chuyển từ việc chỉ bảo vệ mã hợp đồng thông minh sang bảo vệ toàn bộ quy trình, từ phát triển phần mềm và phần phụ thuộc bên thứ ba đến thực hiện giao dịch tiền trên chuỗi. Khả năng xây dựng cơ chế bảo mật liên tục, nhiều lớp và có thể xác minh sẽ trở thành yếu tố cạnh tranh quan trọng đối với các ứng dụng Web3 trong tương lai.

Câu hỏi thường gặp

AI có khiến tiền mã hóa dễ bị tấn công hơn không?

AI có thể giảm chi phí của một số hoạt động phân tích lỗ hổng, thu thập thông tin và chuẩn bị tấn công, nhưng việc tấn công có thành công hay không vẫn phụ thuộc vào lỗ hổng hệ thống, điều kiện quyền hạn và biện pháp phòng thủ.

AI có thể tự động phát hiện lỗ hổng hợp đồng thông minh không?

AI có thể hỗ trợ xác định lỗ hổng tiềm ẩn và một số nghiên cứu đã cho thấy AI Agent có khả năng phát hiện, khai thác lỗ hổng trong môi trường thử nghiệm. Tuy nhiên, mô hình vẫn có thể tạo ra cảnh báo sai hoặc bỏ sót vấn đề và không thể thay thế một cuộc kiểm toán bảo mật hoàn chỉnh.

Tấn công chuỗi cung ứng phần mềm là gì?

Tấn công chuỗi cung ứng phần mềm là cuộc tấn công trong đó kẻ tấn công đưa mã độc vào ứng dụng mục tiêu thông qua phần phụ thuộc bên thứ ba, công cụ phát triển, hệ thống xây dựng hoặc các quy trình phân phối phần mềm khác.

Vì sao hợp đồng thông minh vẫn có thể bị tấn công sau khi kiểm toán?

Kiểm toán thường đánh giá mã hợp đồng và các giả định cụ thể. Kiểm toán không thể tự động loại bỏ những rủi ro như can thiệp giao diện người dùng, rò rỉ khóa riêng tư, phần phụ thuộc độc hại hoặc cấp quyền người dùng không chính xác.

Mã hợp đồng thông minh do AI tạo có an toàn không?

Không thể giả định là an toàn. Mã do AI tạo có thể chứa lỗi logic nghiệp vụ, lỗi quyền hạn hoặc phần phụ thuộc không phù hợp. Mã cần được kiểm thử, rà soát và khi cần thiết, được kiểm toán chuyên nghiệp.

AI Agent tự động giao dịch có những rủi ro bảo mật nào?

Các rủi ro chính gồm thực hiện giao dịch không chính xác, cấp quyền quá mức, sử dụng dữ liệu bên ngoài không đáng tin cậy và chuyển nhiều tiền hơn dự kiến mà không có xác nhận thủ công.

AI có thể được dùng để phòng thủ bảo mật tiền mã hóa không?

Có. AI có thể hỗ trợ rà soát mã, phân tích giao dịch bất thường, sắp xếp thông tin tình báo về mối đe dọa và kiểm tra phần phụ thuộc phần mềm, nhưng cần kết hợp với các phương pháp xác minh khác.

Người dùng thông thường có thể tự bảo vệ trước các cuộc tấn công lừa đảo do AI tạo như thế nào?

Hãy truy cập nền tảng qua các kênh đáng tin cậy, xác minh chi tiết giao dịch, bảo vệ cụm từ hạt giống và khóa riêng tư, đồng thời tránh cấp quyền token không cần thiết cho các trang web không quen thuộc.

Lỗ hổng phần phụ thuộc phần mềm có thể ảnh hưởng đến ví người dùng không?

Có thể. Nếu một phần phụ thuộc độc hại xâm nhập vào thành phần kết nối ví hoặc ứng dụng giao diện người dùng, nó có thể ảnh hưởng đến hiển thị giao dịch, yêu cầu ký hoặc quá trình xử lý dữ liệu nhạy cảm.

AI có thay thế kiểm toán hợp đồng thông minh thủ công trong tương lai không?

Hiện chưa có đủ bằng chứng cho thấy AI có thể thay thế hoàn toàn kiểm toán thủ công. Cách tiếp cận thực tế hơn là sử dụng AI để nâng cao hiệu quả phân tích, đồng thời vẫn duy trì phán đoán của con người, kiểm thử tự động và giám sát liên tục.