CEO Gate: Sàn tiền mã hóa phải chứng minh khả năng sống sót sau vụ hack Binance
Sau vụ đánh cắp tiền mã hóa quy mô lớn nhất lịch sử nhắm vào Binance, vấn đề an toàn tài sản trên các sàn giao dịch đang được đặt lại.
Lin Han, nhà sáng lập kiêm CEO Gate, cho rằng một sàn giao dịch tiền mã hóa phải chứng minh có thể bảo vệ toàn bộ tiền của khách hàng ngay cả khi ví nóng bị đánh cắp hoàn toàn. Để hiện thực hóa yêu cầu này, Gate giới thiệu tiêu chuẩn Proof of Security (PoSEC), tập trung đánh giá tỉ lệ tài sản được lưu trữ ngoại tuyến.
Sau vụ hack Binance, tiêu chuẩn bảo chứng tiền mã hóa cần thay đổi
Một trong những nguyên tắc quan trọng nhất đối với sàn giao dịch tiền mã hóa là phải có đủ tài sản để đáp ứng nghĩa vụ với khách hàng. Tuy nhiên, vụ tấn công nhằm vào Binance mới đây cho thấy việc chứng minh sở hữu đủ tài sản chưa chắc đồng nghĩa với khả năng bảo vệ chúng trước các cuộc tấn công mạng.
Theo Lin Han, nhà sáng lập kiêm CEO Gate, một sàn giao dịch phải có khả năng chịu đựng kịch bản nghiêm trọng nhất: toàn bộ tài sản trong ví nóng bị đánh cắp mà tiền của khách hàng vẫn được bảo đảm.
"Phép kiểm tra rất đơn giản, bất kì ai cũng có thể tự tính toán: nếu tài sản trong ví lạnh bằng hoặc lớn hơn 100% tổng tài sản của người dùng, thì ngay cả khi toàn bộ ví nóng bị mất, tài sản của khách hàng vẫn được bảo đảm", ông Han nói với CoinDesk.
Quan điểm này được đưa ra trong lúcBinance vừa trải qua vụ thất thoát tài sản tiền mã hóa được mô tả là lớn nhất trong lịch sử ngành. Sự cố phơi bày giới hạn của những cơ chế bảo vệ hiện có, đặc biệt là Proof of Reserves (PoR), hay bằng chứng dự trữ.
Trước đó, Binance đã công bố các bằng chứng cho thấy sàn nắm giữ lượng tiền mã hóa đủ để bảo đảm số dư khách hàng. Tuy nhiên, một phần tài sản vẫn bị đánh cắp trong cuộc tấn công. Chỉ vài ngày sau sự cố, Binance cho biết đã dành riêng 6,34 tỉ USD để bảo đảm tiền của người dùng.
Vụ việc cho thấy cần phân biệt giữa hai câu hỏi: Sàn giao dịch có thực sự sở hữu đủ tài sản để đáp ứng nghĩa vụ với khách hàng hay không, và số tài sản đó có được bảo vệ trước nguy cơ bị tin tặc chiếm đoạt hay không.
Proof of Reserves chủ yếu giải quyết câu hỏi thứ nhất. Trong khi đó, Proof of Security được Gate đề xuất nhằm bổ sung một góc nhìn khác về khả năng chống chịu trước các cuộc tấn công mạng.
"Proof of Reserves cho thấy tài sản có tồn tại, còn Proof of Security cho thấy chúng được lưu trữ như thế nào và có được bảo vệ hay không", CEO Gate giải thích.
PoSEC: Khi ví lạnh trở thành thước đo an toàn tài sản
Gate đang giới thiệu tiêu chuẩn Proof of Security (PoSEC), một cơ chế đánh giá mức độ bảo vệ tài sản thông qua tỉ lệ tiền được lưu trữ trong ví lạnh.
Trong hệ thống của các sàn giao dịch tiền mã hóa, ví nóng là những ví kết nối với Internet, phục vụ hoạt động giao dịch và rút tiền thường xuyên. Ưu điểm của loại ví này là tốc độ xử lí nhanh, nhưng việc duy trì kết nối trực tuyến cũng khiến chúng trở thành mục tiêu hấp dẫn đối với tin tặc.
Ngược lại, ví lạnh lưu trữ tài sản ngoại tuyến, tách biệt khỏi hệ thống giao dịch kết nối Internet. Cách thức này giúp giảm nguy cơ bị tấn công từ xa, dù vẫn đòi hỏi quy trình quản lí khóa riêng và kiểm soát truy cập chặt chẽ.
Theo Gate, PoSEC tập trung vào việc xác định liệu lượng tài sản trong ví lạnh có đủ để trang trải toàn bộ nghĩa vụ đối với khách hàng hay không, ngay cả trong trường hợp ví nóng bị xâm nhập và mất sạch tài sản.
Ông Han cho biết Gate đã nghiên cứu cơ chế này trong một thời gian như một phần trong chiến lược an ninh mạng. Những vụ tấn công gần đây khiến công ty cho rằng đây là thời điểm thích hợp để công bố tiêu chuẩn rộng rãi hơn.
Các sàn giao dịch lớn như Kraken, Binance và OKX hiện cũng công bố báo cáo chứng minh khả năng bảo đảm số dư khách hàng. Tuy nhiên, theo Gate, cách tiếp cận PoSEC đi xa hơn khi đánh giá riêng lượng tài sản được lưu trữ ngoài hệ thống giao dịch trực tuyến.
Gate công bố tỉ lệ tài sản trong ví lạnh hiện đạt 104,58% tổng tài sản khách hàng. Trong cơ cấu lưu trữ, 88,26% tổng tài sản nằm trong ví lạnh, còn 11,74% được duy trì trong ví nóng.
Tổng lượng tài sản dự trữ được Gate báo cáo đạt 8,69 tỉ USD, tương đương 118,49% tài sản của khách hàng. Như vậy, ngoài lượng tài sản tương ứng với nghĩa vụ đối với người dùng, sàn còn có phần dự trữ vượt mức để tạo thêm lớp bảo vệ.
Ông Han cho biết mức độ rủi ro từ ví nóng được bù đắp bằng phần dự trữ vượt mức mà Gate nắm giữ so với tổng tài sản khách hàng.
Đáng chú ý, một số tài sản trong danh mục ví lạnh của Gate bao gồm cổ phiếu và trái phiếu Chính phủ Mỹ được lưu ký độc lập. Các số liệu về dự trữ và tỉ lệ bảo chứng hiện đang trải qua quá trình kiểm toán độc lập.
Việc đưa tài sản tài chính truyền thống vào danh mục bảo chứng cũng cho thấy các sàn giao dịch đang tìm cách đa dạng hóa cấu trúc tài sản dự trữ. Tuy nhiên, khả năng thanh khoản, tính pháp lí và mức độ độc lập của đơn vị lưu ký vẫn là những yếu tố cần được đánh giá khi xác định giá trị bảo đảm thực tế.
Không thể dùng ví lạnh để giải quyết mọi rủi ro an ninh mạng
Dù PoSEC được kì vọng tạo thêm một lớp minh bạch cho thị trường, chính CEO Gate cũng thừa nhận tiêu chuẩn này không thể giải quyết toàn bộ những điểm yếu trong hệ thống bảo mật của một sàn giao dịch.
PoSEC không thể xác minh mật khẩu nội bộ, cách quản lí khóa riêng hay các cơ chế phân quyền truy cập. Đây lại chính là những mắt xích thường bị tin tặc khai thác trong các cuộc tấn công nhằm vào nền tảng tiền mã hóa.
Nói cách khác, một sàn giao dịch có thể sở hữu lượng tài sản trong ví lạnh đủ lớn để bù đắp toàn bộ số dư khách hàng, nhưng điều đó không đồng nghĩa hệ thống của họ hoàn toàn an toàn.
Một cuộc tấn công có thể bắt nguồn từ việc nhân viên bị lừa đảo, thông tin đăng nhập bị đánh cắp, khóa riêng bị lộ hoặc quy trình phê duyệt giao dịch bị xâm phạm. Nếu những lỗ hổng này không được kiểm soát, tài sản vẫn có nguy cơ bị thất thoát.
Bên cạnh đó, các sàn giao dịch còn phải đối mặt với bài toán cân bằng giữa an toàn và tốc độ xử lí giao dịch. Việc đưa phần lớn tài sản vào ví lạnh giúp giảm nguy cơ bị tấn công, nhưng cũng có thể khiến quá trình chuyển tiền và đáp ứng yêu cầu rút tiền của khách hàng trở nên phức tạp hơn.
Ông Han thừa nhận PoSEC không loại bỏ hoàn toàn sự đánh đổi giữa bảo mật và khả năng rút tiền nhanh. Thay vào đó, cơ chế này giúp các sàn quản lí sự đánh đổi đó một cách có kiểm soát hơn.
Động thái giới thiệu PoSEC diễn ra khoảng một tháng sau khi Gate tái định vị thương hiệu xoay quanh Gate Money, ứng dụng kết hợp giao dịch tiền mã hóa với các dịch vụ tiết kiệm, chuyển đổi tài sản và thanh toán bằng thẻ.
Trong cuộc phỏng vấn với CoinDesk hồi tháng 10, ông Han cho biết Gate, hiện có hơn 60 triệu người dùng, muốn tiếp cận cả những khách hàng vốn không thường xuyên giao dịch tiền mã hóa. Mục tiêu của công ty là đưa sản phẩm đến với nhóm người dùng rộng hơn thay vì chỉ tập trung vào các nhà đầu tư tài sản số.
Chiến lược mở rộng này càng khiến vấn đề an toàn tài sản trở nên quan trọng. Khi tiền mã hóa dần được tích hợp vào các hoạt động tài chính và thanh toán thường ngày, một sự cố bảo mật không chỉ ảnh hưởng đến nhà đầu tư chuyên nghiệp mà còn có thể tác động đến những người dùng phổ thông.
Gate mong muốn các sàn giao dịch khác và cơ quan quản lí xem xét áp dụng PoSEC, dù ông Han chưa đề xuất biến tiêu chuẩn này thành một yêu cầu pháp lí bắt buộc.
Theo CEO Gate, khi các chỉ số bảo mật được công khai, người dùng và tổ chức có thể tự đánh giá mức độ rủi ro mà họ chấp nhận.
Sau những vụ tấn công quy mô lớn, thị trường tiền mã hóa đang đứng trước yêu cầu chuyển từ việc chứng minh có đủ tài sản sang chứng minh có thể bảo vệ tài sản trong tình huống xấu nhất. PoSEC chưa phải lời giải toàn diện cho an ninh mạng, nhưng cho thấy một hướng tiếp cận mới: khả năng chống chịu trước sự cố cần trở thành tiêu chí cạnh tranh quan trọng của các sàn giao dịch, thay vì chỉ là cam kết trên giấy tờ.