41 lỗ hổng bảo mật. Đó là con số mà 256 Foundation vừa công bố sau cuộc kiểm toán độc lập đầu tiên trên thế giới dành cho firmware máy đào Bitcoin. Không phải 3, không phải 10, mà là 41. Và con số này chỉ là phần nổi của tảng băng chìm mà ngành công nghiệp đào Bitcoin đã cố tình lờ đi suốt hơn một thập kỷ.
Hãy để tôi kể cho bạn nghe một câu chuyện. Năm 2017, khi tôi còn là cố vấn cộng đồng cho OmiseGo, tôi đã tổ chức 12 buổi workshop về Plasma và thanh toán phi tập trung tại Mumbai. Trong số hơn 300 người tham dự, có một anh chàng sở hữu vài chục chiếc máy đào Antminer S9. Anh ấy tự hào khoe với tôi rằng anh ấy chưa bao giờ cập nhật firmware kể từ ngày mua máy. "Nó vẫn chạy tốt mà," anh ấy nói. Tôi đã cố gắng giải thích về rủi ro bảo mật, nhưng anh ấy chỉ cười. "Đây là máy đào mà, chị. Ai thèm hack mấy cái máy này?"
Bảy năm sau, câu trả lời đã rõ ràng: rất nhiều người muốn hack chúng. Và họ không cần phải cố gắng nhiều.
Bối cảnh: Chiếc hộp đen của ngành đào Bitcoin
Firmware máy đào Bitcoin là một trong những thành phần ít được kiểm tra nhất trong toàn bộ hệ sinh thái blockchain. Giao thức Bitcoin Layer 1 đã trải qua hàng trăm cuộc kiểm toán độc lập, các node đã được nghiên cứu đến từng dòng code, nhưng phần cứng sản xuất ra hash rate – nguồn sống của mạng lưới – lại là một hộp đen hoàn hảo. Các nhà sản xuất như Bitmain, MicroBT, Canaan đều cung cấp firmware dạng đóng, mã nhị phân, không có bất kỳ cam kết nào về tính minh bạch. Thợ đào cắm máy vào, cài đặt pool, và hy vọng điều tốt đẹp nhất.
256 Foundation, một tổ chức phi lợi nhuận với sứ mệnh thúc đẩy tính toán có thể kiểm chứng trên Bitcoin, đã quyết định mở chiếc hộp đen đó. Họ không kiểm tra toàn bộ firmware của một hãng cụ thể, mà tập trung vào các thành phần phần mềm bên thứ ba – những thư viện mã nguồn mở, các SDK quản lý, giao thức kết nối pool – thứ mà hầu hết các nhà sản xuất đều dùng chung. Kết quả: 41 lỗ hổng bảo mật trong một phạm vi kiểm toán còn hạn chế.
Phân tích cốt lõi: 41 lỗ hổng nói lên điều gì?
Hãy nói thẳng: 41 lỗ hổng là một con số rất lớn, đặc biệt khi bạn nhận ra rằng cuộc kiểm toán này chỉ mới chạm vào bề mặt. Nếu so sánh với kiểm toán hợp đồng thông minh thông thường, một dự án DeFi tầm trung thường có từ 5 đến 15 lỗ hổng trong lần kiểm toán đầu tiên. 41 lỗ hổng trong firmware máy đào – một hệ thống được cho là "đơn giản" hơn nhiều so với một hợp đồng thông minh – là một hồi chuông báo động.
Tin vào code hơn tin vào lời nói. Và code ở đây đang nói với chúng ta rằng toàn bộ ngành đào Bitcoin đã vận hành dựa trên một niềm tin mù quáng. Các lỗ hổng này nằm trong phần mềm bên thứ ba, nghĩa là chúng ảnh hưởng đến nhiều hãng máy đào, nhiều model, nhiều thế hệ thiết bị. Một lỗ hổng RCE (Remote Code Execution) trong thư viện kết nối pool là đủ để một hacker chiếm quyền điều khiển toàn bộ trang trại đào, chuyển hướng hash rate về pool của chúng, hoặc tệ hơn, biến mỗi chiếc máy đào thành một bot trong mạng lưới tấn công DDoS.
Tôi đã từng nói chuyện với một kỹ sư bảo mật chuyên về firmware nhúng tại một hội nghị ở Bangalore. Anh ấy kể rằng các lỗ hổng trong phần mềm quản lý máy đào qua web thường là những lỗi cơ bản nhất: hardcoded credentials, command injection, buffer overflow. "Bọn tôi tìm thấy những thứ này trong router giá rẻ từ những năm 2000," anh ấy nói. "Vậy mà giờ nó lại xuất hiện trong máy đào Bitcoin. Đáng buồn."
Điều quan trọng: 256 Foundation chưa công bố chi tiết từng lỗ hổng, cũng chưa có CVE nào được gán. Điều này có nghĩa là chúng ta chưa biết mức độ nghiêm trọng thực sự. Nhưng kinh nghiệm kiểm toán của tôi cho thấy, một cuộc kiểm toán với 41 lỗ hổng hầu như chắc chắn có chứa ít nhất một hoặc hai lỗ hổng nghiêm trọng ở cấp độ RCE. Nếu không, họ đã không công bố nó với giọng điệu cảnh báo như vậy.
Góc nhìn phản trực giác: Lỗ hổng là cơ hội, không phải thảm họa
Đây là phần mà tôi muốn bạn đọc kỹ. Hầu hết mọi người sẽ nhìn vào 41 lỗ hổng và nghĩ: "Trời ơi, máy đào của tôi không an toàn, tôi phải làm gì đây?" Nhưng với tư cách là một người đã chứng kiến nhiều chu kỳ thị trường và từng thiết kế chương trình đào tạo DeFi cho 50 phụ nữ trẻ ở Mumbai, tôi nhìn thấy một cơ hội lớn hơn nhiều.
Tin xấu là: những lỗ hổng này đã tồn tại từ lâu. Chúng có thể đã bị khai thác trong nhiều năm mà không ai hay biết. Tin tốt là: bây giờ chúng ta đã biết. Và biết là bước đầu tiên để sửa chữa.
Sự thật phản trực giác là: cuộc kiểm toán này không làm cho máy đào của bạn kém an toàn hơn so với ngày hôm qua. Nó chỉ làm lộ ra một sự thật khó chịu: máy đào của bạn chưa bao giờ an toàn như bạn nghĩ. Nhưng từ hôm nay, bạn có thể bắt đầu làm điều gì đó để thay đổi điều đó.
Hãy nhìn vào những gì đã xảy ra trong thị trường gấu năm 2022. Tôi đã dành 6 tháng tổ chức các buổi gặp mặt online miễn phí với chủ đề "Sống sót qua mùa đông crypto". Hơn 200 người tham dự, nhiều người trong số họ là thợ đào. Họ lo lắng về giá Bitcoin, về chi phí điện, về việc liệu họ có thể trụ được không. Không ai trong số họ lo lắng về bảo mật firmware. Đó là một sai lầm chiến lược.
Bây giờ, trong thị trường giảm này, khi mọi người đều tập trung vào việc sống sót, chính là lúc tốt nhất để củng cố an ninh. Các thợ đào có thời gian, có động lực để kiểm tra lại thiết bị của mình. Và quan trọng nhất, họ có một báo cáo kiểm toán độc lập để dựa vào.
Takeaway: Tương lai của ngành đào là minh bạch, không phải mù quáng
Năm 2021, tôi đã hợp tác với một nghệ sĩ Ấn Độ để tạo ra bộ sưu tập NFT "Văn hóa sống" nhằm gây quỹ cho bảo tàng địa phương. Khi thị trường NFT sốt, tôi từ chối listing trên các sàn lớn vì lo ngại đầu cơ làm mất ý nghĩa. Quyết định đó khiến tôi mất đi một khoản lợi nhuận lớn, nhưng tôi vẫn giữ vững. Tôi tin vào giá trị lâu dài hơn là lợi ích ngắn hạn.
Cũng giống như vậy, tôi tin rằng các nhà sản xuất máy đào và các thợ đào nên nhìn vào 41 lỗ hổng này như một cơ hội để xây dựng một ngành công nghiệp trưởng thành hơn. Đừng chờ đợi bị hack. Đừng chờ đợi một vụ khai thác quy mô lớn. Hãy yêu cầu các nhà sản xuất công bố kết quả kiểm toán, hãy yêu cầu họ cung cấp firmware có thể kiểm chứng được, hãy hỗ trợ các tổ chức như 256 Foundation trong việc mở rộng phạm vi kiểm toán.
Tin vào code hơn tin vào lời nói. 41 lỗ hổng là một lời nhắc nhở rằng code không bao giờ nói dối. Chỉ có con người mới làm điều đó. Và đã đến lúc chúng ta đối mặt với sự thật, để xây dựng một mạng lưới Bitcoin thực sự phi tập trung và an toàn từ gốc rễ.
Bạn có dám mở chiếc hộp đen của mình không?