Hook
65.340 địa chỉ. 575 triệu USD. Đây không phải là một vụ hack, một sàn giao dịch sụp đổ, hay một lỗ hổng hợp đồng thông minh. Đây là tổng thiệt hại do một lỗi cơ bản nhất trong blockchain: lộ private key. Một nghiên cứu học thuật vừa cung cấp con số này, và nó không phải là một cú sốc, mà là một sự xác nhận lạnh lùng về một vấn đề mà chúng ta đã biết từ lâu. Nó đặt ra câu hỏi: liệu mô hình tự quản lý (self-custody), nền tảng của 'không phải khóa của bạn, không phải coin của bạn', có đang thực sự an toàn hay không?
Context
Tôi đã quan sát ngành công nghiệp này từ năm 2017. Từ cơn sốt ICO, DeFi Summer, đến cơn điên cuồng NFT. Mỗi chu kỳ đều có bài học riêng. Nhưng có một bài học lặp đi lặp lại: private key là gót chân Asin. Từ những người dùng mất toàn bộ tài sản vì lưu trữ seed phrase trên máy tính bị nhiễm độc, đến các nhà phát triển vô tình commit private key lên GitHub. Đây không phải là một vấn đề kỹ thuật mới, nó là một vấn đề hành vi và văn hóa. Cộng đồng crypto vẫn luôn phát triển các giải pháp như ví đa chữ ký (multi-sig), ví hợp đồng thông minh (smart contract wallet), hay MPC (Multi-Party Computation). Nhưng con số 65.340 địa chỉ và 575 triệu USD cho thấy, tốc độ áp dụng các giải pháp này vẫn còn quá chậm so với tốc độ mất mát.
Core
Con số 65.340 địa chỉ và 575 triệu USD không phải là một con số biết nói, nó là một lời buộc tội. Nó buộc tội rằng ngành công nghiệp này đã thất bại trong việc giáo dục người dùng. Nó buộc tội rằng các nhà phát triển, trong cơn chạy đua về hiệu suất và trải nghiệm, đã bỏ quên bảo mật ở cấp độ cơ bản nhất. Root: Thách thức giới tính và chiến thuật.
Khi tôi còn là sinh viên An ninh mạng, một trong những bài học đầu tiên là: 'Bảo mật là một quá trình, không phải là một sản phẩm.' Nhưng trong crypto, chúng ta lại bán 'private key' như một sản phẩm. Bạn mua một ví cứng (hardware wallet), và bạn nghĩ mình an toàn. Sai lầm. Ví cứng chỉ bảo vệ bạn khỏi phần mềm độc hại trực tuyến, nhưng nó không thể bảo vệ bạn khỏi sự ngu ngốc của chính mình — viết seed phrase vào một file text, hoặc chụp ảnh nó và lưu trên Google Photos.
Hãy nhìn vào con số: 575 triệu USD. Con số này có thể còn thấp hơn thực tế. Nhiều vụ mất private key không bao giờ được báo cáo, vì nạn nhân xấu hổ hoặc không biết cách báo cáo. Hoặc tệ hơn, họ nghĩ rằng đó là 'phí học tập' (tuition fee). Ngành công nghiệp này đã quá quen với việc coi mất mát là một phần của trò chơi. Nhưng 575 triệu USD là một 'phí học tập' quá đắt.
Contrarian
Đây là góc nhìn phản trực giác: Tôi cho rằng tự quản lý (self-custody) đang trở thành rủi ro lớn nhất đối với người dùng mới. Chúng ta đã tôn sùng câu châm ngôn 'không phải khóa của bạn, không phải coin của bạn' đến mức nó trở thành một giáo điều. Nhưng giáo điều này đang giết chết sự chấp nhận đại chúng (mass adoption). Khi một người bình thường mất 5.000 USD chỉ vì một cú click chuột sai, họ sẽ không bao giờ quay lại. Họ sẽ nói với bạn bè rằng crypto là lừa đảo. Và họ đúng, theo một nghĩa nào đó.
Tôi không nói rằng chúng ta nên từ bỏ self-custody. Tôi nói rằng chúng ta cần ngừng lý tưởng hóa nó. Self-custody là một công cụ mạnh mẽ, nhưng nó không dành cho tất cả mọi người. Nó cũng giống như việc bạn tự xây nhà thay vì mua một căn hộ chung cư. Có người làm được, có người không. Và việc ép buộc mọi người vào mô hình self-custody chỉ vì 'đó là cách đúng đắn duy nhất' là một sự vô trách nhiệm.
Takeaway
Câu hỏi thực sự không phải là 'Làm thế nào để ngăn chặn rò rỉ private key?'. Câu hỏi thực sự là: 'Làm thế nào để xây dựng một hệ thống mà ngay cả khi private key bị lộ, thiệt hại vẫn được giới hạn?' Đây là hướng đi của account abstraction, của ví thông minh với các tính năng như giới hạn chi tiêu hàng ngày, danh sách trắng địa chỉ, và khôi phục xã hội (social recovery). 575 triệu USD là cái giá của quá khứ. Tương lai thuộc về những người dám thách thức giáo điều 'private key là tất cả'. Câu chuyện tiếp theo sẽ không phải là về việc bảo vệ private key, mà là về việc làm cho chúng trở nên không còn quan trọng nữa.
