Tấm huy chương kiểm toán: Ảo giác an toàn đang đưa nhà đầu tư đến vực thẳm
Ngày 21 tháng 2 năm 2025, sàn giao dịch Bybit mất 1,46 tỷ USD trong một vụ tấn công không phá vỡ bất kỳ hợp đồng thông minh nào. Kẻ tấn công không cần tìm lỗ hổng trong mã nguồn. Hắn chỉ cần làm cho màn hình của người ký hiển thị một địa chỉ đúng, trong khi giao dịch thực sự chuyển quyền kiểm soát ví cho hắn. Bybit từng trải qua nhiều vòng kiểm toán bởi các công ty hàng đầu. Vậy mà số tiền vẫn biến mất trong nháy mắt.
Tôi đã dành 14 năm quan sát ngành này. Từ việc kiểm toán hợp đồng ICO EOS năm 2017 đến báo cáo về sự sụp đổ của FTX năm 2022, tôi chưa bao giờ thấy một tấm huy chương 'đã kiểm toán' nào có thể ngăn được một kẻ tấn công quyết tâm. Nhưng điều đáng sợ hơn là cảm giác an toàn giả tạo mà những tấm huy chương này mang lại cho nhà đầu tư.
Huy chương kiểm toán, hay còn gọi là 'audit badge', đã trở thành một phần không thể thiếu của trang web mọi dự án blockchain. Một logo của OpenZeppelin, Trail of Bits hay CertiK được đặt trang trọng cạnh tên dự án. Nhà đầu tư nhìn thấy và nghĩ rằng tài sản của họ an toàn. Nhưng họ không biết rằng tấm huy chương đó chỉ chứng nhận một thứ rất hẹp: mã nguồn tại một thời điểm cụ thể, tại một commit cụ thể, trong một môi trường cô lập.
Tháng 3 năm 2026, Oak Security công bố một bản phân tích dựa trên dữ liệu từ nhiều công ty kiểm toán cho thấy một thực tế đáng lo ngại. Khoảng 1/6 các phát hiện kiểm toán được xếp loại nghiêm trọng hoặc nguy cơ cao. Ba loại lỗ hổng phổ biến nhất chiếm 37,6% tổng số vấn đề được ghi nhận. Nhưng con số đáng chú ý nhất lại nằm ở một nơi khác: các vụ tấn công do rò rỉ khóa riêng và lừa đảo chiếm tới 43,9% tổng giá trị tài sản bị đánh cắp. Mã nguồn sạch không có nghĩa là con đường đến ví của bạn sạch.
Hãy nhìn vào vụ Bybit. Safe, nền tảng ví đa chữ ký được sử dụng, đã xác nhận rằng cuộc tấn công bắt nguồn từ một máy tính của nhà phát triển bị nhiễm mã độc. Hợp đồng thông minh của Safe không bị khai thác. Các công ty kiểm toán đã rà soát mã nguồn và không tìm thấy lỗ hổng nào ở tầng logic. Nhưng kẻ tấn công đã tấn công vào một lớp mà không một bản kiểm toán mã nguồn nào đề cập đến: giao diện người dùng, thiết bị ký và con người.
Điều này dẫn tôi đến một câu hỏi cốt lõi: Chúng ta đang kiểm toán cái gì? Một bản kiểm toán thông thường chỉ xem xét mã nguồn tại một thời điểm. OpenZeppelin, một trong những công ty uy tín nhất, luôn mô tả chính xác phạm vi của họ bằng mã commit, danh sách hợp đồng và khoảng thời gian kiểm tra. Nhưng khi báo cáo này được đưa lên trang web của dự án, nó bị đóng khung thành một sự chứng thực chung chung.
Tôi đã chứng kiến điều này từ năm 2017, khi tôi công bố 12 lỗ hổng trong hợp đồng ICO EOS. Cộng đồng đã phản ứng dữ dội vì cho rằng tôi cố tình cản trở dự án. Bốn trong số những lỗ hổng đó sau này được Block.one xác nhận và vá. Nhưng điều tôi học được không phải là về kỹ thuật mà là về cách thị trường tiêu hóa thông tin an ninh. Mọi người không muốn nghe về giới hạn của kiểm toán. Họ muốn nghe rằng mọi thứ đều ổn.
Năm 2020, tôi phân tích giao thức Compound v2 và phát hiện cơ chế lãi suất có thể kích hoạt thanh lý hàng loạt. Tôi khuyến nghị giảm tỷ lệ cho vay tối đa xuống 60%. Công ty tôi không nghe theo. Đến tháng 11, sự kiện thanh lý hàng loạt xảy ra đúng như tôi dự đoán. Kiểm toán an toàn không phải là một sự kiện một lần; nó là một quá trình liên tục và có giới hạn.
Số liệu không biết nói dối; người trình bày số liệu mới là thứ cần kiểm toán. Trong vụ Bybit, các báo cáo kiểm toán có thể hoàn toàn chính xác trong phạm vi của chúng. Nhưng những gì được marketing là một câu chuyện khác. Khi một dự án treo huy chương kiểm toán lên trang chủ mà không kèm theo phạm vi chi tiết, họ đang biến một công cụ kỹ thuật thành một công cụ tiếp thị.
FBI đã cảnh báo rằng các vụ tấn công vào ví đa chữ ký đang gia tăng. Không phải vì hợp đồng thông minh kém an toàn hơn trước, mà vì kẻ tấn công đã học được rằng tấn công vào con người và quy trình dễ hơn nhiều so với việc tìm lỗ hổng trong mã đã được kiểm toán. Một dòng chữ 'audited' không bao giờ đi kèm chân ký của kẻ tấn công.
Hãy để tôi làm rõ một điểm quan trọng. Kẻ tấn công trong vụ Bybit đã thao túng giao diện để hiển thị một địa chỉ chính xác trong khi giao dịch cơ bản lại chuyển quyền kiểm soát ví cho hắn. Người ký nhìn vào màn hình và thấy mọi thứ đều đúng. Nhưng màn hình đang nói dối. Đây không phải là lỗi của hợp đồng thông minh; đây là lỗi của toàn bộ chuỗi vận hành: máy chủ, trình duyệt, tiện ích mở rộng, thiết bị phần cứng và phần mềm ký.
Không một công ty kiểm toán nào có thể bao phủ toàn bộ chuỗi đó. Họ kiểm tra mã trong môi trường phòng thí nghiệm. Họ không kiểm tra máy tính xách tay của nhân viên. Họ không kiểm tra kết nối mạng của công ty. Họ không kiểm tra liệu nhà phát triển có đang dùng một bản phần mềm bị xâm nhập hay không. Khi ngành công nghiệp này nói về bảo mật, chúng ta cần mở rộng định nghĩa của nó.
Trong một thị trường đi ngang như hiện tại, nơi nhà đầu tư có thời gian để xem xét kỹ lưỡng, đây là lúc để đặt câu hỏi đúng. Đi ngang không phải là thời gian chết; nó là thời gian để xếp hàng. Và hàng hóa ở đây là sự hiểu biết về rủi ro thực sự của bạn.
Tôi từng phân tích hợp đồng BAYC và phát hiện ra lỗ hổng front-running trong cơ chế mint. Khi tôi công bố bài phân tích 'Mặt nạ của sự khan hiếm', tôi nhận được nhiều lời chỉ trích. Nhưng hai tuần sau, Yuga Labs đã phải vá lỗ hổng. Điều đó cho tôi biết rằng thị trường luôn có xu hướng bắn người đưa tin. Nhưng sự thật vẫn là sự thật.
Bây giờ, hãy nhìn vào dữ liệu từ Oak Security một lần nữa. 43,9% giá trị tổn thất đến từ rò rỉ khóa và lừa đảo. Con số này vượt xa mọi tổn thất do lỗ hổng hợp đồng thông minh gây ra. Điều đó có ý nghĩa gì? Nó có nghĩa là việc chi hàng trăm nghìn USD cho một bản kiểm toán hợp đồng thông minh có thể ít hiệu quả hơn so với việc đầu tư vào quy trình quản lý khóa an toàn. Nhưng không ai treo huy chương cho việc quản lý khóa tốt cả.
Đây là lúc tôi phải đưa ra quan điểm ngược chiều với chính mình. Những người ủng hộ kiểm toán không hoàn toàn sai. Kiểm toán vẫn là một lớp phòng thủ cần thiết. Nếu Bybit không có kiểm toán, họ có thể đã mất nhiều hơn. Kiểm toán giúp loại bỏ các lỗ hổng dễ thấy, giảm thiểu bề mặt tấn công và tạo ra một chuẩn mực tối thiểu cho ngành. Nhưng vấn đề không nằm ở giá trị của kiểm toán; vấn đề nằm ở cách nó được trình bày và cách nhà đầu tư hiểu về nó.
Kiểm toán giống như việc kiểm tra phanh trước một chuyến đi dài. Nó xác nhận rằng phanh hoạt động tại thời điểm kiểm tra. Nó không đảm bảo rằng không có ai sẽ cắt dây phanh sau đó. Nó cũng không đảm bảo rằng bạn sẽ không gặp tai nạn vì lốp xe mòn. Nhưng một người lái xe khôn ngoan sẽ không bao giờ nói rằng tôi không cần kiểm tra phanh vì nó không đảm bảo an toàn tuyệt đối.
Vấn đề là ngành công nghiệp này đã biến một công cụ kỹ thuật thành một huy hiệu danh dự. Các dự án cạnh tranh nhau để có nhiều huy chương kiểm toán hơn, như thể số lượng logo sẽ thay thế cho chất lượng vận hành. Nhưng một dự án có thể có năm bản kiểm toán khác nhau và vẫn mất toàn bộ tiền của người dùng vì một nhân viên bị lừa đảo qua email.
Tôi đã chứng kiến điều tương tự trong vụ FTX. Khi tôi phân tích 50 báo cáo về Alameda Research và phát hiện 23 điểm bất thường về dòng tiền, tôi kết luận rằng khả năng phá sản là trên 90%. Vào thời điểm đó, FTX được ca ngợi là một trong những sàn giao dịch an toàn nhất. Họ có kiểm toán viên, có quỹ dự phòng, có mọi thứ. Nhưng số liệu không biết nói dối; người trình bày số liệu mới là thứ cần kiểm toán.
Trở lại với câu chuyện về những tấm huy chương. Nếu bạn không thể giải thích phạm vi của một tấm huy chương, bạn không nên giữ tài sản trong đó. Đó là nguyên tắc tôi áp dụng khi đánh giá bất kỳ giao thức nào. Tôi không hỏi 'dự án này có được kiểm toán không?' Tôi hỏi 'bản kiểm toán này bao phủ những gì và không bao phủ những gì?'
Câu hỏi này quan trọng hơn gấp mười lần. Bởi vì câu trả lời cho câu hỏi đầu tiên thường là một cái gật đầu vô nghĩa. Câu trả lời cho câu hỏi thứ hai sẽ cho bạn biết liệu bạn có đang đặt cược vào mã nguồn hay đang đặt cược vào toàn bộ hệ thống vận hành của một tổ chức.
Trong vụ Bybit, toàn bộ hệ thống vận hành đã thất bại. Không phải vì mã nguồn kém chất lượng, mà vì một máy tính bị nhiễm độc và một giao diện bị thao túng. Điều này có thể xảy ra với bất kỳ dự án nào, bất kể họ có bao nhiêu huy chương kiểm toán. Sự khác biệt duy nhất là nhà đầu tư vào Bybit có thể đã không lường trước được rủi ro này bởi vì họ bị che mắt bởi những logo trên trang chủ.
Tôi không nói rằng bạn nên từ bỏ kiểm toán. Tôi đang nói rằng bạn nên hạ thấp kỳ vọng của mình về những gì kiểm toán có thể làm. Một bản kiểm toán là một bức ảnh chụp X-quang tại một thời điểm. Nó không thể dự đoán được liệu bệnh nhân sẽ bị nhiễm virus vào tuần sau. Nhà đầu tư cần hiểu điều này để đưa ra quyết định dựa trên thực tế, không dựa trên ảo giác.
Thị trường hiện tại đang đi ngang và điều đó có lợi cho những người chú ý đến chi tiết. Đây là thời điểm để rà soát lại danh mục đầu tư của bạn, không phải để tìm kiếm dự án có nhiều huy chương nhất, mà để tìm kiếm dự án minh bạch nhất về giới hạn bảo mật của họ. Dự án nào công khai phạm vi kiểm toán chi tiết, nêu rõ điều gì không được kiểm tra, có quy trình phản hồi sự cố rõ ràng, dự án đó mới đáng tin cậy hơn.
Khi tôi kiểm toán EOS, tôi đã học được rằng việc công bố một lỗ hổng không phải là hành động chống lại dự án. Đó là hành động bảo vệ người dùng. Tương tự, bài viết này không nhằm phủ nhận giá trị của kiểm toán. Nó nhằm phơi bày một ảo giác đang khiến nhà đầu tư mất cảnh giác.
Kẻ tấn công không bao giờ tấn công vào nơi được bảo vệ tốt nhất. Chúng tấn công vào nơi con người cảm thấy an toàn nhất. Và không gì khiến con người cảm thấy an toàn hơn một tấm huy chương sáng bóng được treo trang trọng trên trang chủ. Nhưng tấm huy chương đó được khắc bởi con người, và con người thì có giới hạn. Hãy nhìn xa hơn những logo đó. Hãy đọc báo cáo, hiểu phạm vi, và luôn chuẩn bị cho kịch bản tồi tệ nhất. Bởi vì trong thế giới blockchain, kịch bản tồi tệ nhất không bao giờ đến từ nơi bạn mong đợi.
Câu hỏi cuối cùng tôi muốn để lại cho bạn không phải là 'dự án này có an toàn không?' mà là 'bạn có thực sự hiểu rủi ro của mình không?' Nếu bạn không thể trả lời câu hỏi thứ hai, tấm huy chương đầu tiên sẽ không cứu được bạn.