Ai nên trả tiền cho "cấu hình mặc định"? Sau nửa tháng vụ trộm rsETH, CEO LayerZero "tự nguyện nhận trách nhiệm"

null

Viết bài: Yangz, Techub News

Trong thế giới Web3 không bao giờ ngủ, ngày 18 tháng 4 vốn chỉ là một ngày bình thường. Tuy nhiên, đối với lĩnh vực staking lại khả năng thanh khoản và toàn bộ hệ sinh thái DeFi, một trận “địa chấn” đủ để đi vào lịch sử đã âm thầm diễn ra trên chuỗi. Trong chưa đầy một giờ, hacker (được cho là nhóm Lazarus) đã lợi dụng cầu nối chuỗi chéo của Kelp DAO để tạo ra 116.5 nghìn rsETH, trị giá khoảng 292 triệu USD. Xem xét rằng rsETH được sử dụng rộng rãi làm tài sản thế chấp, hacker không vội bán tháo mà chuyển những “chứng chỉ không có giá trị” này vào các giao thức cho vay chính như Aave, thu về khoảng 236 triệu USD ETH, đẩy các giao thức hàng đầu như Aave vào vực nợ xấu.

Đây không phải lần đầu cầu nối chuỗi chéo bị tấn công, nhưng lần này lại mở ra một vết thương đã lâu trong ngành Web3: khi hạ tầng nền tảng (tầng giao thức) và tầng ứng dụng (tầng ứng dụng) không có sự liên kết chặt chẽ, ai sẽ phải trả giá cho hàng tỷ tài sản biến mất?

Trong hơn nửa tháng sau đó, cuộc khủng hoảng này đã biến thành một cuộc đấu tranh công khai về công nghệ, trách nhiệm và quyền lực. Từ việc đổ lỗi lẫn nhau ban đầu, đến việc CEO LayerZero chủ động nhận trách nhiệm ngày nay, đây mới thực sự khép lại một giai đoạn tranh luận về giới hạn trách nhiệm.

Mối đe dọa “1/1 DVN”

Để hiểu rõ cuộc tranh luận này, cần phân tích phương thức tấn công của hacker. Thú vị là, cuộc tấn công lần này không dựa vào lỗ hổng phức tạp của hợp đồng thông minh, mà xuất phát từ một tham số cấu hình: 1-of-1 DVN.

Cái gọi là DVN, tức là mạng xác thực viên phi tập trung, là thành phần chịu trách nhiệm xác thực các tin nhắn chuỗi chéo trong kiến trúc LayerZero V2. Cấu hình 1-of-1 nghĩa là: chỉ cần một xác thực viên ký, tin nhắn chuỗi chéo sẽ được coi là hợp lệ và thực thi. Tệ hơn nữa, quyền điều khiển “chìa khóa” này không hoàn toàn nằm trong tay Kelp, mà phụ thuộc vào các nút RPC nền tảng. Hacker đã tấn công bằng cách đầu độc các nút RPC và phối hợp tấn công từ chối dịch vụ (DDoS), chiếm quyền kiểm soát nút xác thực duy nhất, gửi vào đó các “ghi nhận tiêu hủy nguồn chuỗi” giả mạo. Xác thực viên tin và ký, toàn bộ tài sản khổng lồ đó bỗng nhiên xuất hiện từ hư không.

Vậy, vấn đề then chốt, chính là ai phải gánh trách nhiệm cho “1/1 DVN” này?

Đổ lỗi lẫn nhau: Hai logic đối lập

Trong thời gian đầu sau khi vụ tấn công xảy ra, dư luận ban đầu nghiêng về phía LayerZero. Trên mạng xã hội tràn ngập lời châm biếm về Kelp DAO: Là một giao thức hàng đầu quản lý hàng trăm triệu USD, vậy mà lại dùng “chốt xác thực đơn 1/1” kiểu “cửa khóa giấy”, gần như không thể tha thứ.

Tuy nhiên, khi ngày 21 tháng 4, Kelp đưa ra “tài liệu chính thức”, một cuộc đảo chiều ngoạn mục trong dư luận đã xảy ra. Luận điểm cốt lõi của Kelp chỉ vỏn vẹn một câu: Nếu tài liệu chính thức và cấu hình mặc định vốn đã nguy hiểm, thì trách nhiệm thuộc về phía người viết tài liệu và thiết lập cấu hình mặc định đó. Đây không phải lỗi do người dùng cấu hình sai, mà là “thiếu hướng dẫn” của chính sản phẩm. Mặc dù CEO LayerZero Bryan Pellegrino nhiều lần nhấn mạnh rằng đây là lựa chọn của tầng ứng dụng, không phải lỗ hổng của tầng giao thức, nhưng trọng tâm đổ lỗi bắt đầu chuyển từ “không đủ năng lực thực thi” của Kelp sang “sự kiêu ngạo hệ thống” của LayerZero — biết rõ cấu hình mặc định có rủi ro, vẫn dùng làm ví dụ tiêu chuẩn để người dùng mới làm quen.

Thêm vào đó, tiếng nói của các nhà phát triển bên thứ ba cũng làm rõ thêm tranh cãi. Nhà phát triển chính của Yearn, banteg, qua kiểm tra kỹ thuật phát hiện rằng, hướng dẫn nhanh của LayerZero V2 trên Ethereum, BNB Chain, Polygon, Arbitrum và Optimism đều sử dụng chế độ xác thực đơn nguồn nguy hiểm này làm mặc định. Người đứng đầu cộng đồng Chainlink, Zach Rynes, còn gay gắt hơn khi chỉ trích LayerZero đang biến người dùng tuân theo hướng dẫn chính thức thành “lũ dê tế thần”, nhằm che đậy sự mong manh của hạ tầng trước các cuộc tấn công của hacker hàng đầu.

Vậy, ai đúng ai sai? Thực ra, cả hai đều không hoàn toàn đúng cũng không hoàn toàn sai. Bản chất của cuộc tranh luận này chính là sự va chạm giữa hai logic. Một là “đạo đức kỹ thuật”: công cụ là trung lập, người dùng phải chịu trách nhiệm với lựa chọn của mình. Hai là “nguyên tắc an toàn mặc định”: trạng thái xuất xưởng của sản phẩm phải ở mức an toàn cao nhất. Người dùng có thể chủ động giảm rào cản để tiện lợi hơn, nhưng sản phẩm không nên hướng dẫn người dùng đi vào nguy hiểm.