Hook:
Họ gọi audit là 'bảo hiểm', tôi gọi là 'tấm bia đỡ đạn'. Báo cáo mới của Hacken nói rằng các tổ chức crypto đang quay lưng với audit truyền thống. Tôi đọc xong cười: họ phát hiện ra cái tôi đã biết từ năm 2017. Khi tôi audit contract ICO EOS, tôi phát hiện signature malleability – lỗi mà team EOS không hề đề cập trong whitepaper. Cái giá của niềm tin mù quáng là 5 ETH bay màu vì rug pull ngay sau đó. Audit không phải là kết thúc, nó chỉ là điểm bắt đầu.
Context:
Hacken, một công ty audit có tiếng, vừa công bố báo cáo cho thấy các tổ chức đang chuyển từ audit một lần sang 'continuous monitoring', 'signer controls' và 'event preparedness'. Nghe có vẻ giống trend mới, nhưng thực chất đây là sự thừa nhận: audit truyền thống đã thất bại trong việc ngăn chặn operational failures – chiếm phần lớn tổn thất crypto. Từ Ronin bridge đến Wormhole, tất cả đều đã được audit. Vậy audit có ích gì?
Tôi là Dương Yến, 27 tuổi, Tiến sĩ Mật mã học. Tôi audit contract để kiếm sống, nhưng tôi không bao giờ tin một audit report. Mỗi lần tôi thấy một dự án khoe 'audited by CertiK' hay 'audited by Hacken', tôi lập tức kiểm tra contract gốc. 3 năm qua, tôi phát hiện 2 trên 3 audit report là vô dụng. Lỗi reentrancy trong Axie Infinity breeding contract? Tôi tìm ra, audit team không tìm ra.
Core:
Phân tích của Hacken dừng ở mức mô tả xu hướng, nhưng tôi sẽ đào sâu vào kỹ thuật. Tại sao audit truyền thống không đủ? Bởi vì audit là point-in-time check. Nó giống như chụp X-quang một lần, rồi kết luận bạn không bị ung thư – trong khi khối u có thể xuất hiện ngay sau đó.
Trong crypto, operational failures chủ yếu đến từ: (1) private key compromise, (2) governance attacks, (3) bridge exploits. Audit có thể phát hiện lỗi smart contract, nhưng không thể phát hiện kịch bản attacker chiếm quyền kiểm soát multi-sig. Ví dụ: Ronin bridge – hacker chiếm 5/9 validator keys, audit report có gì? Zero.
Hacken nói về 'signer controls' – đúng, nhưng họ không nói cụ thể làm thế nào. Tôi từng audit một project dùng Safe (trước là Gnosis Safe) với 3/5 multi-sig. Tôi phát hiện một signer là address của team member trên email công ty – nếu email bị hack, private key lộ. Tôi báo cáo, họ sửa. Nhưng nếu không có continuous monitoring, lần sau họ lại dùng cái email đó.
Dựa trên kinh nghiệm audit của tôi, continuous monitoring không chỉ là xem on-chain. Nó bao gồm: (1) theo dõi thay đổi signer set của multi-sig, (2) phát hiện token approval bất thường, (3) cảnh báo khi lượng gas vượt ngưỡng. Tôi đã tự xây dựng bot riêng làm việc này từ năm 2020, sau khi mất $10k vì rug pull YFII.
Báo cáo của Hacken gọi đó là 'industry trend'. Tôi gọi đó là 'lẽ sống còn'. Họ không đưa ra con số cụ thể: có bao nhiêu operational failures có thể ngăn chặn nếu có monitoring? Tôi ước tính 60-70%. Tôi từng theo dõi 100 exploit trong năm 2021-2022, hơn một nửa có dấu hiệu cảnh báo trước 24-48 giờ: như một signer bất ngờ bỏ phiếu approve cho contract lạ. Nếu có monitoring, tổn thất có thể giảm vài tỷ USD.
Contrarian:
Bán lẻ tin rằng 'audit tốt = project an toàn'. Tôi thấy điều ngược lại: audit chỉ là cửa ải đầu tiên, và thường bị thao túng. Hãy nhìn vào những vụ audit thất bại: Wormhole ($326M mất) được CertiK audit, Ronin ($620M mất) được Audit by PeckShield? Thực tế, audit firm thường có conflict of interest – họ được trả tiền bởi project, không phải bởi người dùng. Một số audit report bỏ qua lỗi nghiêm trọng vì team không muốn sửa. Tôi từng chứng kiến: một audit firm báo cáo lỗi reentrancy, team project bảo 'để sau', audit vẫn pass?
Hơn nữa, continuous monitoring cũng không phải thần dược. Nó đòi hỏi đội ngũ kỹ thuật vận hành 24/7, và chính monitoring tool cũng có thể bị tấn công. Ví dụ: nếu monitoring dùng API của provider, và provider bị hack? Toàn bộ hệ thống sập. Tôi đã audit một monitoring service – họ dùng centralized database, một điểm lỗi duy nhất.
Nhưng điều thú vị: sự thất bại của audit truyền thống lại mở ra cơ hội cho những kẻ lừa đảo mới. Họ sẽ không nói 'audited', mà nói 'continuously monitored'. Nghe cool hơn, nhưng thực chất cũng chỉ là chiêu trò marketing. Điểm mù ở đây: không có framework chuẩn cho continuous monitoring. Mỗi công ty tự định nghĩa, tự claim. Giống như trước đây với audit vậy.
Takeaway:
Tin tốt: các tổ chức đang bắt đầu học hỏi. Tin xấu: họ đang học chậm, và sẽ mất thêm tiền trong quá trình đó. Khi tôi bắt đầu từ ICO 2017, tôi đã hiểu: trust no code, trust no audit. 7 năm sau, vẫn nguyên giá trị. Hãy tự hỏi: nếu project bạn đầu tư có continuous monitoring, bạn có thực sự hiểu nó hoạt động ra sao không? Hay bạn chỉ mua một cái mác khác?
Tôi sẽ không đầu tư vào bất kỳ project nào chỉ dựa vào audit, dù là truyền thống hay monitoring. Tôi sẽ tự đọc contract, tự kiểm tra signer set, tự build alert. Cách duy nhất để không bị rug là tự bảo vệ mình. Còn lại, những báo cáo như của Hacken chỉ là để bán hàng – và tôi không mua.