Khi radar quốc gia bị phá hủy: Bài học bảo mật DeFi từ cuộc không kích Mỹ-Israel vào Iran

Đêm đó, một nhân viên an ninh sân bay ở Iran thiệt mạng. Không phải vì lỗi reentrancy, không phải vì một oracle bị thao túng. Một tên lửa của Mỹ-Israel đã phá hủy trạm radar quốc gia. Thi thể nằm lại giữa sân bay dân sự — một "thiệt hại phụ" trong ngôn ngữ quân sự. Tôi đọc bản tin từ Crypto Briefing, và với tư cách một auditor bảo mật DeFi, tôi nhìn thấy một thứ khác: sự mong manh của hạ tầng tập trung. Vội vàng: kẻ thù số một của DeFi. Và vội vàng cũng khiến chúng ta tin rằng tiền mã hóa đứng ngoài chiến tranh. Theo Iran, Mỹ và Israel đã tiến hành một cuộc tấn công vào trạm radar — một mắt xích trong chuỗi phòng không. Nhân viên an ninh tại sân bay thiệt mạng vì đòn tấn công. Mục tiêu quân sự, nhưng nạn nhân là dân sự. Sự việc không nằm trên màn hình giao dịch của bạn, nhưng nó chạy xuyên qua từng khối lệnh. Khi một quốc gia bị tấn công, hạ tầng internet và điện là những thứ đầu tiên chịu áp lực. Trong một thế giới mà các thợ đào Bitcoin và các node DeFi phụ thuộc vào những tiện ích đó, an ninh quốc gia trở thành an ninh mạng của chúng ta. Khu vực Trung Đông, đặc biệt là Iran, đã trở thành một trung tâm khai thác tiền mã hóa nhờ khí đốt giá rẻ. Theo các ước tính công khai, Iran chiếm từ 3% đến 5% hashrate Bitcoin toàn cầu. Con số đó không lớn, nhưng nó đủ để cho thấy một sự thật: mạng lưới phi tập trung vẫn đang cắm rễ vào lãnh thổ của các quốc gia có rủi ro địa chính trị cao. Một cuộc tấn công quân sự, một lệnh cắt điện, một đòn tấn công mạng có thể kéo hàng nghìn máy đào rời khỏi mạng lưới trong vài phút. Trong các cuộc kiểm toán, tôi thường chia hợp đồng thành từng lớp: lớp thanh khoản, lớp oracle, lớp quản trị. Mỗi lớp có một điểm giả định về sự an toàn. Nhưng khi một trạm radar bị tên lửa phá hủy, tôi nhận ra rằng các giao thức DeFi cũng vậy: chúng ta giả định rằng internet luôn hoạt động, rằng điện luôn đủ, rằng chính phủ sẽ không kéo cáp biển. Giả định đó là lỗ hổng. Một lỗi nhỏ, một hệ thống sập. Hãy nhìn vào hạ tầng của một sàn giao dịch tập trung. Nó nằm trong các trung tâm dữ liệu đặt tại một quốc gia. Nếu chiến tranh mạng giữa Mỹ và Iran lan rộng, các cuộc tấn công DDoS vào sàn giao dịch, hoặc tệ hơn, vào DNS và nhà cung cấp dịch vụ điện toán đám mây của họ, sẽ gây ra sự hỗn loạn không thua kém gì một vụ hack. DeFi được quảng cáo là "không thể kiểm duyệt", nhưng front-end của nó lại di chuyển qua DNS, qua các máy chủ web tập trung. Nếu một quốc gia có năng lực tấn công mạng quyết định nhắm vào các nhà cung cấp tên miền hoặc chứng chỉ SSL, người dùng có thể bị chuyển hướng đến các trang giả mạo. Điều này từng xảy ra với nhiều giao thức DeFi, và nó không cần một trạm radar nào bị phá hủy. Trở lại với Iran. Sự kiện này không chỉ đe dọa các mỏ đào Bitcoin tại nước này. Nó còn làm lộ ra một điểm yếu trong thiết kế của các hệ thống phi tập trung: sự phụ thuộc vào không gian vật lý. Các node xác thực của Ethereum, các sequencer của rollup, máy chủ lưu trữ dữ liệu blob — tất cả đều nằm trong các trung tâm dữ liệu. Trong một cuộc chiến, những tòa nhà đó có thể trở thành mục tiêu quân sự nếu chúng nằm gần các cơ sở hạ tầng quan trọng. Hãy nghĩ về một trạm radar đặt gần sân bay: nó biến sân bay thành mục tiêu. Hãy nghĩ về một trung tâm dữ liệu đặt gần trạm radar: nó biến trung tâm dữ liệu thành nơi hứng chịu làn sóng xung kích. Cáp quang biển là huyết mạch của internet toàn cầu. Ở Biển Đỏ, có những trạm cáp biển nối châu Á, châu Phi và châu Âu. Nếu xung đột lan rộng, việc cắt cáp hoặc phá hoại các trạm cập bờ sẽ tàn phá kết nối toàn khu vực. DeFi sẽ chết khô trước khi các lệnh trừng phạt có hiệu lực. Khi tôi kiểm toán các giao thức cho vay, tôi thường hỏi: "Nếu thị trường giảm 30% trong một giờ thì sao?" Nhưng ít ai hỏi: "Nếu đất nước nơi đặt máy chủ của tôi bị ném bom thì sao?" Đó là câu hỏi mà bảng cân đối kế toán không trả lời được. Những gì tôi học được từ việc kiểm toán Uniswap V2 vào năm 2020 là: tính toán phí sai có thể làm mất thanh khoản. Nhưng có một điều tương tự: đặt toàn bộ sự tin tưởng vào một giả định đơn lẻ sẽ làm mất cả hệ thống. Trong giao thức SafeYield, chúng tôi đã thiết kế một bộ ngắt mạch để tạm dừng cho vay khi biến động giá vượt ngưỡng. Đó là một bài tập về khả năng phục hồi. Nhưng bộ ngắt mạch đó có chịu được cảnh mất điện không? Không. Không một hợp đồng thông minh nào chạy được nếu không có điện. Vậy, thị trường tiền mã hóa nên nhìn nhận sự kiện Iran thế nào? Không nên nhìn bằng con mắt của một nhà đầu cơ. Hãy nhìn bằng con mắt của một kỹ sư bảo mật. Khi Mỹ-Israel tấn công radar, họ đang phá một lớp phòng thủ. Khi một quốc gia như Iran đứng trước nguy cơ chiến tranh, họ có thể thắt chặt kiểm soát internet. Giao thức nào phụ thuộc vào một quốc gia duy nhất cho một phần hạ tầng của mình sẽ hứng chịu rủi ro. Sự kiện này cho thấy một trong những điểm mù lớn nhất của ngành: chúng ta xây dựng các hệ thống tài chính phi tập trung, nhưng lại đặt chúng trên nền móng tập trung dễ vỡ. Đây là góc nhìn phản trực giác: Bitcoin và các tài sản tiền mã hóa được coi là nơi trú ẩn an toàn trong địa chính trị. Nhưng sự thật ngược lại. Trong cú sốc đầu tiên sau tin tức, Bitcoin có thể lao dốc, vàng tăng, trái phiếu chính phủ Mỹ tăng. Vì thị trường coi chiến tranh là rủi ro, không phải là cơ hội. Sự tăng giá sau đó không đến từ bản chất "trú ẩn", mà đến từ dòng vốn đầu cơ chạy trốn khỏi các đồng tiền pháp định. Nhưng điều quan trọng hơn là các mạng phi tập trung có thực sự phi tập trung không? Không. Hashrate Bitcoin tập trung vào một số ít nhóm khai thác. Sau halving thứ tư, khi doanh thu giảm, các thợ đào nhỏ rời bỏ mạng lưới. Sự tập trung hóa không chỉ diễn ra ở nhóm đào, mà còn ở vị trí địa lý. Một cuộc chiến tranh ở Trung Đông có thể làm giảm đáng kể hashrate toàn cầu. Nếu mức giảm đó vượt qua 20%, thời gian tạo khối sẽ chậm lại, gây ra sự hỗn loạn trong thanh khoản. Một lỗi nhỏ, một hệ thống sập. Điểm mù thứ hai là Layer2. Tôi từng viết rằng dữ liệu blob sau Dencun sẽ bão hòa trong hai năm, khiến phí gas của mọi rollup tăng gấp đôi. Nhưng ít ai nhìn thấy rằng phần lớn sequencer của các rollup là các máy chủ tập trung do một công ty duy nhất kiểm soát. Nếu công ty đó nằm trong khu vực bị ảnh hưởng bởi chiến tranh mạng hoặc vật lý, người dùng sẽ mất khả năng giao dịch. Sự tập trung hóa đó chính là điểm mù lớn nhất của toàn bộ hệ sinh thái. Vội vàng: kẻ thù số một của DeFi. Các nhà phát triển đã vội vàng đưa giao thức lên mainnet mà không thiết kế khả năng chống chịu địa chính trị. Nhân viên an ninh sân bay đã chết. Radar bị phá hủy. Mỹ và Israel đã chứng minh rằng họ có thể đánh vào sâu bên trong lãnh thổ Iran. Còn ngành công nghiệp blockchain đang tự hỏi: liệu mạng lưới của chúng ta có sống sót nếu một trạm radar — hay một trung tâm dữ liệu — bị tấn công? Câu hỏi đó không dành cho chính phủ. Nó dành cho các nhà phát triển, các nhà điều hành node, các nhà đầu tư. Lỗi đầu tiên là bài học cuối cùng. Lỗi của chúng ta là tin rằng phi tập trung trong mã nguồn đồng nghĩa với phi tập trung trong hạ tầng. Sự thật thì ngược lại. Chúng ta cần một kế hoạch dự phòng cho từng tầng hạ tầng. Nếu một vùng lãnh thổ bị mất điện, mạng lưới phải chuyển sang vùng khác một cách tự động. Nếu một nhà cung cấp dịch vụ cloud bị tấn công, node phải chạy được trên phần cứng độc lập. Nếu một quốc gia chặn internet, thông điệp giao dịch vẫn phải truyền qua vệ tinh hoặc radio. Điều đó nghe có vẻ xa vời, nhưng trước khi radar được phát minh, người ta cũng nói rằng không thể phát hiện máy bay từ xa. Vội vàng: kẻ thù số một của DeFi. Đừng vội tin, hãy kiểm chứng từng tầng một. Dựa trên kinh nghiệm audit của tôi, tôi có thể nói rằng: những giao thức sống sót không phải là những giao thức phức tạp nhất, mà là những giao thức dự phòng tốt nhất. Và dự phòng tốt nhất luôn bắt đầu bằng việc thừa nhận rằng hạ tầng vật lý cũng mong manh như mã nguồn vậy.