#Ledger事件损失近9000万 Ledger lại gặp chuyện, tích trữ coin thế nào mới yên tâm nhất? Ví phần cứng có dùng được không, bảo vệ tài sản thế nào?
Hai năm qua có thể nói là thời điểm đầy biến cố đối với ví phần cứng. Mỗi lần xảy ra sự cố, lại có người nghi ngờ rằng nếu ví phần cứng cũng có thể bị sửa đổi trái phép, vậy còn mua nó làm gì? Dùng ví trên điện thoại trực tiếp chẳng phải tốt hơn sao?
Hoàn toàn đồng ý! Tôi luôn cho rằng ví phần cứng không phù hợp với tất cả mọi người. Ưu thế cốt lõi của nó nằm ở việc «khóa riêng được cách ly hoàn toàn về mặt vật lý trong môi trường phần cứng chuyên dụng, khiến máy tính và điện thoại kết nối mạng hằng ngày không thể dễ dàng tiếp cận khóa riêng, đồng thời xác nhận nội dung giao dịch qua màn hình độc lập». Xét về phòng thủ đơn điểm, đây vẫn là một thiết kế cực kỳ vững chắc.
Vấn đề nằm ở chỗ nhiều người coi nó là «két sắt vạn năng», nghĩ rằng chỉ cần mua là có thể kê cao gối ngủ ngon. Với người dùng phổ thông, điều cần thiết hơn là phòng thủ theo từng lớp:
1. Điện thoại cũ không dùng đến làm ví lạnh
Nếu trong nhà có một chiếc iPhone hoặc điện thoại Android đã ngừng sử dụng, hãy xóa sạch dữ liệu, cài đặt công cụ ký ngoại tuyến mã nguồn mở đáng tin cậy, sau đó ngắt hoàn toàn kết nối mạng và dùng nó làm thiết bị ký chuyên dụng, xây dựng một ví lạnh để sử dụng. Cách này cũng có thể tránh các cuộc tấn công chuỗi cung ứng có chủ đích có thể xảy ra trong quá trình mua và vận chuyển ví phần cứng chuyên dụng.
Dù sao thì khi bạn mua một chiếc Ledger, SafePal hay OneKey, đơn đặt hàng, thông tin nhận hàng, thậm chí cả hồ sơ vận chuyển, tuy không có nghĩa bạn chắc chắn là người nắm giữ lượng tài sản lớn, nhưng sẽ khiến những người tiếp cận các thông tin này biết rằng bạn đang sử dụng tài sản mã hóa. Còn điện thoại thông thường thì khác: bạn mang một chiếc iPhone ra ngoài, ai biết được bạn dùng nó để xem video hay bên trong đang lưu trữ BTC trị giá vài triệu USD?
Tất nhiên, bản thân điện thoại cũng có các lỗ hổng phần mềm, rủi ro về nguồn gốc thiết bị và chuỗi cung ứng phần cứng; không phải cứ đơn giản tắt Wi-Fi, bật chế độ máy bay là nó sẽ tự động trở thành một chiếc ví lạnh đạt chuẩn.
Điều thực sự quan trọng là nguồn phần mềm đáng tin cậy, quy trình ký ngoại tuyến nghiêm ngặt và việc sao lưu cụm từ khôi phục đúng cách.
2. Passphrase
Nhiều ví phần cứng hỗ trợ BIP-39 Passphrase, hay còn được gọi phổ biến là «từ thứ 25». Nói đơn giản, đây là việc đặt thêm một cụm mật khẩu chỉ mình bạn biết bên cạnh cụm từ khôi phục hiện có, từ đó tạo ra một ví khác. Như vậy, ngay cả khi kẻ tấn công lấy được cụm từ khôi phục gốc, nếu không biết Passphrase thì thông thường cũng không thể khôi phục các tài khoản được bảo vệ bởi lớp này.
Tuy nhiên, xét theo phương thức tấn công lần này, vấn đề nằm ở chỗ nếu mô-đun độc hại có thể đánh cắp cụm từ khôi phục hiển thị trên màn hình, nhiều khả năng nó cũng có thể ghi lại quá trình nhập Passphrase, chưa kể bản thân Passphrase còn có thêm rủi ro trong việc sao lưu và khôi phục; chỉ cần nhớ sai một ký tự cũng có thể khiến tài sản không thể khôi phục.
Vì vậy, quan điểm của tôi là có thể sử dụng Passphrase, đặc biệt phù hợp với những người dùng nắm giữ tài sản dài hạn và có kiến thức nền tảng nhất định, nhưng điều kiện tiên quyết là phải hiểu cơ chế hoạt động của nó trước, rồi mới quyết định có nên tăng thêm lớp phức tạp này hay không.
3. Giải pháp đa chữ ký với nhiều thương hiệu, nhiều thiết bị
Trước rủi ro ở cấp độ sửa đổi phần cứng như lần này, sau khi xem xét mọi phương án, đa chữ ký gần như là giải pháp tối hậu duy nhất.
Ví dụ, có thể thiết lập đa chữ ký 2-of-3, lần lượt mua 3 ví phần cứng khác thương hiệu để quản lý cùng một khoản tài sản; mỗi lần chuyển tiền phải có đủ hai chữ ký ủy quyền. Do các thiết bị đến từ những nhà sản xuất và kênh mua khác nhau, cách này trực tiếp phá vỡ rủi ro sự cố tại một điểm đơn lẻ trong một thương hiệu hoặc một chuỗi cung ứng duy nhất.
Ngay cả khi hacker đột nhập vật lý vào một trong các thiết bị và lấy đi một khóa riêng, chúng vẫn không thể chuyển tiền của bạn đi.
Tất nhiên, đa chữ ký có ngưỡng sử dụng cao hơn, cách triển khai trên mỗi blockchain cũng khác nhau, đồng thời còn liên quan đến hợp đồng thông minh và cơ chế sao lưu phức tạp. Chiến lược bảo mật không phải cứ càng nhiều càng tốt; nhất định phải tương xứng với quy mô tài sản và năng lực thực hành của bản thân, đừng vì theo đuổi mức an toàn tuyệt đối mà tự làm mọi thứ rối tung lên, cuối cùng đến tài sản cũng không thể khôi phục.
Nói cho cùng, cá nhân tôi luôn thiên về phương án «lưu trữ phân tầng»:
Giao dịch thường xuyên với số tiền nhỏ: cứ để trực tiếp trong ví nóng cho tiện;
Giao dịch hằng ngày và thanh khoản: để ở Top2 sàn lớn; nói thẳng, hệ thống kiểm soát rủi ro và hàng rào kỹ thuật của các sàn hàng đầu an toàn hơn nhiều so với việc người mới tự mày mò ví lạnh;
Khoản tài sản lớn dài hạn không động đến: sử dụng ví lạnh do hãng chính thức gửi trực tiếp, hoặc thiết lập đa chữ ký và Passphrase để lưu trữ phân tách;
Tóm lại chỉ có một nguyên tắc: đừng bao giờ đặt cược toàn bộ tài sản vào một nhà cung cấp hoặc một khâu duy nhất. Sự cố Ledger bị nghi ngờ là tấn công chuỗi cung ứng lần này thực ra cũng là lời cảnh tỉnh cho mọi người: tính an toàn của ví phần cứng không chỉ nằm ở bản thân chip và firmware, mà còn bao gồm toàn bộ quá trình lưu thông từ khi xuất xưởng đến tay người dùng. Chỉ cần thiết bị rời khỏi nhà máy gốc, đi qua kho của bên thứ ba hoặc trung gian cá nhân, là có thể làm tăng rủi ro bị tháo máy, cấy mô-đun độc hại và các hình thức sửa đổi vật lý khác; ngay cả khi thiết bị vượt qua bước xác minh hàng chính hãng của nhà sản xuất, điều đó cũng không có nghĩa chắc chắn thiết bị chưa từng bị can thiệp. #WCTCS9
Hai năm qua có thể nói là thời điểm đầy biến cố đối với ví phần cứng. Mỗi lần xảy ra sự cố, lại có người nghi ngờ rằng nếu ví phần cứng cũng có thể bị sửa đổi trái phép, vậy còn mua nó làm gì? Dùng ví trên điện thoại trực tiếp chẳng phải tốt hơn sao?
Hoàn toàn đồng ý! Tôi luôn cho rằng ví phần cứng không phù hợp với tất cả mọi người. Ưu thế cốt lõi của nó nằm ở việc «khóa riêng được cách ly hoàn toàn về mặt vật lý trong môi trường phần cứng chuyên dụng, khiến máy tính và điện thoại kết nối mạng hằng ngày không thể dễ dàng tiếp cận khóa riêng, đồng thời xác nhận nội dung giao dịch qua màn hình độc lập». Xét về phòng thủ đơn điểm, đây vẫn là một thiết kế cực kỳ vững chắc.
Vấn đề nằm ở chỗ nhiều người coi nó là «két sắt vạn năng», nghĩ rằng chỉ cần mua là có thể kê cao gối ngủ ngon. Với người dùng phổ thông, điều cần thiết hơn là phòng thủ theo từng lớp:
1. Điện thoại cũ không dùng đến làm ví lạnh
Nếu trong nhà có một chiếc iPhone hoặc điện thoại Android đã ngừng sử dụng, hãy xóa sạch dữ liệu, cài đặt công cụ ký ngoại tuyến mã nguồn mở đáng tin cậy, sau đó ngắt hoàn toàn kết nối mạng và dùng nó làm thiết bị ký chuyên dụng, xây dựng một ví lạnh để sử dụng. Cách này cũng có thể tránh các cuộc tấn công chuỗi cung ứng có chủ đích có thể xảy ra trong quá trình mua và vận chuyển ví phần cứng chuyên dụng.
Dù sao thì khi bạn mua một chiếc Ledger, SafePal hay OneKey, đơn đặt hàng, thông tin nhận hàng, thậm chí cả hồ sơ vận chuyển, tuy không có nghĩa bạn chắc chắn là người nắm giữ lượng tài sản lớn, nhưng sẽ khiến những người tiếp cận các thông tin này biết rằng bạn đang sử dụng tài sản mã hóa. Còn điện thoại thông thường thì khác: bạn mang một chiếc iPhone ra ngoài, ai biết được bạn dùng nó để xem video hay bên trong đang lưu trữ BTC trị giá vài triệu USD?
Tất nhiên, bản thân điện thoại cũng có các lỗ hổng phần mềm, rủi ro về nguồn gốc thiết bị và chuỗi cung ứng phần cứng; không phải cứ đơn giản tắt Wi-Fi, bật chế độ máy bay là nó sẽ tự động trở thành một chiếc ví lạnh đạt chuẩn.
Điều thực sự quan trọng là nguồn phần mềm đáng tin cậy, quy trình ký ngoại tuyến nghiêm ngặt và việc sao lưu cụm từ khôi phục đúng cách.
2. Passphrase
Nhiều ví phần cứng hỗ trợ BIP-39 Passphrase, hay còn được gọi phổ biến là «từ thứ 25». Nói đơn giản, đây là việc đặt thêm một cụm mật khẩu chỉ mình bạn biết bên cạnh cụm từ khôi phục hiện có, từ đó tạo ra một ví khác. Như vậy, ngay cả khi kẻ tấn công lấy được cụm từ khôi phục gốc, nếu không biết Passphrase thì thông thường cũng không thể khôi phục các tài khoản được bảo vệ bởi lớp này.
Tuy nhiên, xét theo phương thức tấn công lần này, vấn đề nằm ở chỗ nếu mô-đun độc hại có thể đánh cắp cụm từ khôi phục hiển thị trên màn hình, nhiều khả năng nó cũng có thể ghi lại quá trình nhập Passphrase, chưa kể bản thân Passphrase còn có thêm rủi ro trong việc sao lưu và khôi phục; chỉ cần nhớ sai một ký tự cũng có thể khiến tài sản không thể khôi phục.
Vì vậy, quan điểm của tôi là có thể sử dụng Passphrase, đặc biệt phù hợp với những người dùng nắm giữ tài sản dài hạn và có kiến thức nền tảng nhất định, nhưng điều kiện tiên quyết là phải hiểu cơ chế hoạt động của nó trước, rồi mới quyết định có nên tăng thêm lớp phức tạp này hay không.
3. Giải pháp đa chữ ký với nhiều thương hiệu, nhiều thiết bị
Trước rủi ro ở cấp độ sửa đổi phần cứng như lần này, sau khi xem xét mọi phương án, đa chữ ký gần như là giải pháp tối hậu duy nhất.
Ví dụ, có thể thiết lập đa chữ ký 2-of-3, lần lượt mua 3 ví phần cứng khác thương hiệu để quản lý cùng một khoản tài sản; mỗi lần chuyển tiền phải có đủ hai chữ ký ủy quyền. Do các thiết bị đến từ những nhà sản xuất và kênh mua khác nhau, cách này trực tiếp phá vỡ rủi ro sự cố tại một điểm đơn lẻ trong một thương hiệu hoặc một chuỗi cung ứng duy nhất.
Ngay cả khi hacker đột nhập vật lý vào một trong các thiết bị và lấy đi một khóa riêng, chúng vẫn không thể chuyển tiền của bạn đi.
Tất nhiên, đa chữ ký có ngưỡng sử dụng cao hơn, cách triển khai trên mỗi blockchain cũng khác nhau, đồng thời còn liên quan đến hợp đồng thông minh và cơ chế sao lưu phức tạp. Chiến lược bảo mật không phải cứ càng nhiều càng tốt; nhất định phải tương xứng với quy mô tài sản và năng lực thực hành của bản thân, đừng vì theo đuổi mức an toàn tuyệt đối mà tự làm mọi thứ rối tung lên, cuối cùng đến tài sản cũng không thể khôi phục.
Nói cho cùng, cá nhân tôi luôn thiên về phương án «lưu trữ phân tầng»:
Giao dịch thường xuyên với số tiền nhỏ: cứ để trực tiếp trong ví nóng cho tiện;
Giao dịch hằng ngày và thanh khoản: để ở Top2 sàn lớn; nói thẳng, hệ thống kiểm soát rủi ro và hàng rào kỹ thuật của các sàn hàng đầu an toàn hơn nhiều so với việc người mới tự mày mò ví lạnh;
Khoản tài sản lớn dài hạn không động đến: sử dụng ví lạnh do hãng chính thức gửi trực tiếp, hoặc thiết lập đa chữ ký và Passphrase để lưu trữ phân tách;
Tóm lại chỉ có một nguyên tắc: đừng bao giờ đặt cược toàn bộ tài sản vào một nhà cung cấp hoặc một khâu duy nhất. Sự cố Ledger bị nghi ngờ là tấn công chuỗi cung ứng lần này thực ra cũng là lời cảnh tỉnh cho mọi người: tính an toàn của ví phần cứng không chỉ nằm ở bản thân chip và firmware, mà còn bao gồm toàn bộ quá trình lưu thông từ khi xuất xưởng đến tay người dùng. Chỉ cần thiết bị rời khỏi nhà máy gốc, đi qua kho của bên thứ ba hoặc trung gian cá nhân, là có thể làm tăng rủi ro bị tháo máy, cấy mô-đun độc hại và các hình thức sửa đổi vật lý khác; ngay cả khi thiết bị vượt qua bước xác minh hàng chính hãng của nhà sản xuất, điều đó cũng không có nghĩa chắc chắn thiết bị chưa từng bị can thiệp. #WCTCS9
