Bạn có biết, việc BlackRock hạ ngưỡng chuyển đổi in-kind từ 25 triệu USD xuống 1 triệu USD không chỉ là tin vui cho nhà đầu tư nhỏ lẻ? Nó còn mở ra một cánh cửa bảo mật mà ít ai để ý – một lỗ hổng quy trình có thể biến mỗi lần chuyển đổi BTC thành một vector tấn công tiềm ẩn. Tôi đã dành 8 năm audit các hợp đồng thông minh và giao thức DeFi, và tôi nhận ra rằng: khi ngưỡng giảm, tần suất giao dịch tăng, và mỗi giao dịch mới là một cơ hội để kẻ xấu khai thác sự phức tạp trong quy trình chuyển đổi. Hãy cùng tôi mổ xẻ điều này.
## Context: BlackRock IBIT và cơ chế In-Kind BlackRock iShares Bitcoin Trust (IBIT) là một trong những quỹ ETF Bitcoin spot lớn nhất thế giới, với hơn 40 tỷ USD tài sản quản lý. Cơ chế in-kind creation/redemption cho phép nhà đầu tư đổi BTC trực tiếp lấy cổ phiếu ETF (và ngược lại) mà không cần qua bước chuyển đổi sang USD. Điều này giảm chi phí giao dịch và tăng hiệu quả vốn. Ban đầu, ngưỡng tối thiểu cho mỗi giao dịch in-kind là 25 triệu USD – một con số chỉ dành cho các tổ chức lớn. Nhưng vào ngày 11 tháng 8, Bloomberg ETF analyst Eric Balchunas xác nhận rằng BlackRock đã hạ ngưỡng xuống còn 1 triệu USD, và Robbie Mitchnick, Giám đốc tài sản số của BlackRock, bày tỏ hy vọng sẽ tiếp tục giảm trong tương lai. Đây là một bước tiến rõ ràng để mở rộng khả năng tiếp cận cho các nhà đầu tư vừa và nhỏ, nhưng từ góc nhìn bảo mật, nó đặt ra những câu hỏi chưa có lời đáp.
## Core: Phân tích kỹ thuật – Khi tần suất giao dịch tăng, rủi ro tăng theo cấp số nhân Trong các cuộc audit của tôi, một nguyên tắc luôn đúng: bất kỳ quy trình nào có sự tham gia của con người và hệ thống đều có điểm mù. Với việc giảm ngưỡng, số lượng giao dịch in-kind có thể tăng từ vài chục mỗi tháng lên hàng nghìn. Mỗi giao dịch yêu cầu xác thực BTC trên blockchain, kiểm tra danh tính người gửi, khớp lệnh với cổ phiếu ETF, và ghi nhận trên sổ cái của quỹ. Đây là một quy trình đa bước, và mỗi bước là một bề mặt tấn công.
Điểm yếu đầu tiên: Xác thực giao dịch BTC. BlackRock sử dụng các nhà môi giới (authorized participants – AP) để thực hiện chuyển đổi. Khi AP gửi BTC vào ví của quỹ, hệ thống phải xác nhận số lượng, địa chỉ và thời gian. Với ngưỡng 25 triệu USD, mỗi giao dịch là một sự kiện lớn, được kiểm tra kỹ lưỡng bởi đội ngũ chuyên trách. Nhưng với ngưỡng 1 triệu USD, khối lượng giao dịch tăng gấp 25 lần, và khả năng kiểm soát thủ công không thể theo kịp. Các hệ thống tự động hóa có thể bỏ sót các giao dịch gian lận nếu logic xác thực không được thiết kế chặt chẽ. Ví dụ: một kẻ tấn công có thể gửi một lượng BTC nhỏ từ một địa chỉ đã bị đánh dấu, và hệ thống tự động vẫn chấp nhận vì không có đủ thời gian để kiểm tra danh sách đen.
Điểm yếu thứ hai: Rủi ro về sự khớp lệnh giữa BTC và cổ phiếu. Trong quy trình in-kind, AP phải đồng thời gửi BTC và nhận cổ phiếu ETF (hoặc ngược lại). Nếu có sự chênh lệch thời gian giữa hai bước, kẻ tấn công có thể khai thác để tạo ra giao dịch chênh lệch giá (arbitrage) bất hợp pháp. Khi tần suất giao dịch thấp, các AP đáng tin cậy có thể tự điều chỉnh, nhưng với khối lượng lớn, nguy cơ xuất hiện các AP giả mạo hoặc bị kiểm soát tăng cao. Vào năm 2022, tôi đã từng chứng kiến một vụ tấn công tương tự trên một sàn giao dịch DeFi, nơi kẻ tấn công lợi dụng độ trễ trong khớp lệnh để rút tiền. Nguyên tắc tương tự áp dụng ở đây: bất kỳ sự không đồng bộ nào trong quy trình đều có thể bị khai thác.
Điểm yếu thứ ba: Thiếu minh bạch trong quy trình audit. BlackRock chưa công bố chi tiết về quy trình xác thực giao dịch in-kind. Liệu có sử dụng multisig? Có cơ chế khóa thời gian không? Ai có quyền ký? Trong các cuộc audit của tôi, tôi luôn yêu cầu xem mã nguồn hoặc ít nhất là sơ đồ quy trình. Nhưng ở đây, chúng ta chỉ có thông tin từ tweet và phát biểu. Điều này tạo ra một vùng tối bảo mật. Nếu quy trình không được thiết kế với tư duy bảo mật ngay từ đầu, việc giảm ngưỡng chỉ là tăng diện tích tấn công.
So sánh với các ETF khác: Grayscale GBTC và Fidelity FBTC cũng có cơ chế in-kind, nhưng họ duy trì ngưỡng cao hơn hoặc yêu cầu giao dịch qua các kênh riêng. BlackRock đang đi tiên phong trong việc hạ ngưỡng, nhưng điều này cũng có nghĩa là họ đang thử nghiệm trên một quy mô chưa từng có. Từ góc nhìn của một auditor, tôi đánh giá rủi ro bảo mật của IBIT ở mức trung bình-cao sau khi giảm ngưỡng, bởi vì sự gia tăng đột biến về số lượng giao dịch mà không có sự chuẩn bị về hạ tầng kiểm soát.
## Contrarian: Góc nhìn phản trực giác – Hạ ngưỡng là bước lùi về bảo mật Nhiều người cho rằng hạ ngưỡng là một tín hiệu tích cực cho thị trường – nó giúp các nhà đầu tư nhỏ tiếp cận ETF dễ dàng hơn, tăng thanh khoản và giảm chi phí. Nhưng tôi cho rằng, từ góc nhìn bảo mật, đây là một bước lùi. Lý do: khi ngưỡng cao, mỗi giao dịch đều được xử lý như một sự kiện đặc biệt, có sự giám sát của con người và hệ thống kiểm tra chéo. Khi ngưỡng thấp, giao dịch trở nên tầm thường, và hệ thống tự động có thể bỏ qua các dấu hiệu bất thường. Hãy tưởng tượng bạn có một két sắt chỉ mở khi có 25 triệu USD – bạn sẽ kiểm tra kỹ từng đồng tiền. Nhưng nếu két sắt mở cho bất kỳ ai có 1 triệu USD, bạn sẽ không thể kiểm tra từng giao dịch một cách thủ công. Đó chính là điểm mù.
Hơn nữa, việc giảm ngưỡng này không đi kèm với bất kỳ cải tiến bảo mật nào được công bố. BlackRock vẫn dựa vào các AP hiện có, nhưng với số lượng giao dịch lớn hơn, nguy cơ một AP bị tấn công hoặc nội bộ gian lận tăng lên. Trong quá khứ, tôi đã từng chứng kiến các vụ tấn công vào quy trình chuyển đổi tài sản trên các sàn giao dịch tập trung, nơi kẻ tấn công lợi dụng sự tin tưởng vào các bên trung gian. Với IBIT, nếu một AP bị xâm phạm, họ có thể tạo ra các giao dịch giả mạo, rút BTC khỏi quỹ mà không bị phát hiện kịp thời.
## Takeaway: Dự báo lỗ hổng và lời kêu gọi hành động Dựa trên kinh nghiệm audit của tôi, tôi dự đoán rằng trong vòng 6-12 tháng tới, sẽ có một hoặc nhiều sự cố bảo mật liên quan đến quy trình in-kind của IBIT, có thể không phải là mất mát lớn về tài sản, nhưng sẽ là một vụ "gần như xảy ra" (near-miss) làm lộ ra điểm yếu. Khi đó, cộng đồng sẽ nhận ra rằng việc giảm ngưỡng mà không có cơ chế bảo vệ tương xứng là một sai lầm. Câu hỏi đặt ra là: BlackRock đã chuẩn bị gì cho việc này? Họ có kế hoạch audit bên thứ ba không? Họ có công bố quy trình xác thực để các chuyên gia bảo mật như tôi có thể kiểm tra không? Nếu không, thì việc hạ ngưỡng chỉ là một canh bạc.
Là một người bảo vệ an toàn tận tâm, tôi kêu gọi BlackRock hãy minh bạch hơn về quy trình kỹ thuật của IBIT, và đồng thời kêu gọi các nhà đầu tư hãy đặt câu hỏi: "Bạn có thực sự biết cách BTC của bạn được bảo vệ khi chuyển đổi thành cổ phiếu ETF không?" Có thể câu trả lời sẽ làm bạn ngạc nhiên.